Node.js沙箱isolated-vm爆重大漏洞，影響AI代理執行安全

isolated-vm 是讓 Node.js 應用在獨立 V8 Isolate 中執行不受信任 JavaScript 的開源函式庫，常被 AI 代理與自動化工作流當作程式碼隔離層。如今隔離邊界可被突破，風險不再只是單一任務崩潰，而可能擴大為宿主服務遭接管，直接考驗代理型系統的執行安全。

安全公告 GHSA-864f-rcv7-6rh4 指出，ExternalCopy 處理 transferList 時出現型別混淆，沙箱內程式碼可破壞宿主記憶體並劫持控制流程；7.0.0 及更早版本均受影響。專案於 2026 年 8 月 5 日發布 7.0.1 與 6.2.0 修補，使用者應依 Node.js 版本升級並重建含原生模組的部署映像。