一句话看懂：安全研究团队 Pwn.ai 公开了 Firecracker microVM 逃逸链的第二部分：利用宿主内存原语定位 Firecracker 进程、劫持 vCPU 线程从 KVM_RUN 返回时的保存寄存器，最终在宿主机上获得 root 级代码执行。Firecracker 是 AWS Lambda 等服务隔离不可信代码的底层组件，这类逃逸对多租户隔离模型意义重大。
事件核心：发生了什么
Firecracker 的设计目标是把不可信代码关在 microVM 里。按 Pwn.ai 博文（原始发布时间 2026-11-06）的说明，研究者在 PwnEscape 第一部分拿到宿主内存访问原语后，进一步在内存中定位 Firecracker 的宿主进程：先在客户页写入可识别 nonce，借助 EPT 遍历确认其在宿主上的物理地址，再反向比对宿主页表，找到映射该页的进程与 PGD。随后他们锁定某个活跃 vCPU 线程在内核中保存的 pt_regs，改写返回地址与栈指针，使其从 KVM_RUN 返回用户态时执行选定代码，并以宿主机 root 权限运行。按原文描述，Firecracker 进程未崩溃，虚拟机仍可通过 SSH 访问。
为什么重要
Firecracker 常被云厂商用于函数计算和容器安全边界，阿里云、AWS 等多租户平台都可能受益于它的轻量隔离。一旦此类逃逸在真实部署中可复现，租户之间以及租户与云平台的信任边界就要重新评估。需要指出，目前公开信息仅为研究团队博文，涉及编号 CVE-2026-99999，尚无第三方复现或厂商补丁说明，不能等同于通用攻击已具备现实可行性。
对用户/开发者/创作者的影响
对使用函数计算或无服务器平台的应用开发者，短期可留意云厂商的安全公告，不必立即迁移，但应避免把 Firecracker 当作唯一的安全隔离手段；对自建 microVM 集群的团队，建议关注宿主与客户机共享页表、KVM 返回路径的加固策略。对内容创作和图像生成等依赖云 API 的用户，目前没有证据显示服务受影响，但事件会推动平台披露其虚拟化隔离方案。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是厂商是否确认漏洞、发布补丁与 CVE 正式公告；二是研究团队是否公开完整利用代码及触发条件，是否依赖特定配置或版本；三是其他 microVM 方案（如 gVisor、Cloud Hypervisor）是否出现同类攻击面讨论。
