Vercel 推出针对会话 Cookie 被盗攻击的新防护

Vercel 正在其平台上逐步推出 Device Bound Session Credentials（DBSC），作为抵御信息窃取恶意软件的关键防御手段。

这项由 Vercel CTO Malte Ubl 在 X 上宣布的新功能，将登录会话通过存储在 TPM 中的私钥绑定到用户设备，因此即使会话 Cookie 被盗，也无法在另一台设备上重复使用。

Vercel 是一个云平台，开发者用它来部署和托管网站、Web 应用和 AI 智能体。该公司还开发了流行的 Next.js Web 框架。

其最新公告涉及登录 vercel.com 上的 Vercel 平台——开发者在那里管理其项目和部署。

"DBSC 的工作原理是在你设备的 TPM（即笔记本电脑或手机上指纹传感器或类似生物识别设备所用的同一设备）中存储一个私钥，并使用该密钥对你的 Cookie 进行签名，" Ubl 解释道。

"该私钥永远无法再被取回。我们不行，你不行，恶意软件也不行。"

Vercel 的 DBSC 推出还与 Chrome 的 App-Bound Encryption 相辅相成，后者使信息窃取恶意软件更难以提取浏览器 Cookie。DBSC 通过防止被盗会话 Cookie 在其他设备上被重复使用，增加了另一层保护。

DBSC 目前在 macOS 和 Windows 上的 Chrome 中可用，但推出是渐进的，以确保涉及 OAuth 应用的边缘情况得到妥善处理。

另外，Vercel 正在为 Vercel CLI 推出一种名为 DPoP 的类似保护技术。

Security Review 上线

本周早些时候，Vercel 为 Pro 和 Enterprise 团队推出了 Security Review 公开测试版，为 Vercel Agent 增加了一项功能——一旦启用，它会在每次推送到连接的 GitHub 仓库时扫描代码更改。

新系统使用代码和团队定义的策略来标记诸如缺少授权检查和暴露的密钥等问题。

如果权限允许，Vercel Agent 可以验证并提交修复。

Vercel 表示，Security Review 扫描将在 2026 年 11 月 10 日之前免费，而智能体生成的修复将单独计费。

Ubl 表示，Vercel 的安全团队在几个月前就在内部上线了这项新功能，它已经证明了其价值，因此该平台决定将其广泛提供。

今年 4 月，Vercel 遭遇了一起影响部分客户的安全漏洞，攻击者通过攻陷一名员工在 Context.ai 的 Google Workspace 账户，获得了对其系统的访问权限。

Vercel 表示，攻击者利用该访问权限进入内部系统，并查看了未标记为敏感的环境变量。

一名冒充 ShinyHunters 的威胁行为者试图出售据称被盗的源代码、访问密钥和数据库数据。