CoreBreak: Zranitelnosti AI agentů u AWS, Google a Vercelu umožnily útoky mimo jakákoliv bezpečnostní opatření
CoreBreak je zranitelnost napříč platformami odhalená na Black Hat USA 2026 výzkumníky Hedi Ingberem a Aviyamem Ivgi ze společnosti Stealth. Nejvyšší závažnost měla chyba v Google ADK se skóre CVSS 9,3 (Critical); u AWS byla záplata nasazena automaticky, ale uživatelé open source Strands SDK zůstávají zranitelní.
PublikovalUpraveno pomocí DeepSeek-V4-FlashObrázky vytvořeny pomocí GPT Image 1.5
CoreBreak je zranitelnost napříč platformami odhalená na Black Hat USA 2026 výzkumníky Hedi Ingberem a Aviyamem Ivgi ze společnosti Stealth.
Nejvyšší závažnost měla chyba v Google ADK se skóre CVSS 9,3 (Critical); u AWS byla záplata nasazena automaticky, ale uživatelé open source Strands SDK zůstávají zranitelní.
Útok umožňuje spustit nástroje agenta bez jediného běhu modelu, čímž obchází systémové instrukce, filtry obsahu i bezpečnostní trénink.
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
Na konferenci Black Hat USA 2026 v Las Vegas bezpečnostní výzkumníci Hedi Ingber a Aviyam Ivgi z firmy Stealth odhalili útočný vzor napříč platformami, který pojmenovali CoreBreak. Hlavní podstata: vrstvy pro spouštění nástrojů v Amazon Bedrock AgentCore, Google Agent Development Kit (ADK) a Vercel AI SDK bylo možné oklamat, aby spustily nástroj agenta bez jediného legitimního běhu modelu – to znamená, že systémové instrukce, filtry obsahu a bezpečnostní trénink byly zcela obcházeny .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CoreBreak: Zranitelnosti AI agentů u AWS, Google a Vercelu umožnily útoky mimo jakákoliv bezpečnostní opatření"?
CoreBreak je zranitelnost napříč platformami odhalená na Black Hat USA 2026 výzkumníky Hedi Ingberem a Aviyamem Ivgi ze společnosti Stealth.
What are the key points to validate first?
CoreBreak je zranitelnost napříč platformami odhalená na Black Hat USA 2026 výzkumníky Hedi Ingberem a Aviyamem Ivgi ze společnosti Stealth. Nejvyšší závažnost měla chyba v Google ADK se skóre CVSS 9,3 (Critical); u AWS byla záplata nasazena automaticky, ale uživatelé open source Strands SDK zůstávají zranitelní.
What should I do next in practice?
Útok umožňuje spustit nástroje agenta bez jediného běhu modelu, čímž obchází systémové instrukce, filtry obsahu i bezpečnostní trénink.
CoreBreak: Zranitelnosti AI agentů u AWS, Google a Vercelu umožnily útoky mimo jakákoliv bezpečnostní opatření
CoreBreak je zranitelnost napříč platformami odhalená na Black Hat USA 2026 výzkumníky Hedi Ingberem a Aviyamem Ivgi ze společnosti Stealth. Nejvyšší závažnost měla chyba v Google ADK se skóre CVSS 9,3 (Critical); u AWS byla záplata nasazena automaticky, ale uživatelé open source Strands SDK zůstávají zranitelní.
PublikovalUpraveno pomocí DeepSeek-V4-FlashObrázky vytvořeny pomocí GPT Image 1.5
CoreBreak je zranitelnost napříč platformami odhalená na Black Hat USA 2026 výzkumníky Hedi Ingberem a Aviyamem Ivgi ze společnosti Stealth.
Nejvyšší závažnost měla chyba v Google ADK se skóre CVSS 9,3 (Critical); u AWS byla záplata nasazena automaticky, ale uživatelé open source Strands SDK zůstávají zranitelní.
Útok umožňuje spustit nástroje agenta bez jediného běhu modelu, čímž obchází systémové instrukce, filtry obsahu i bezpečnostní trénink.
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
Na konferenci Black Hat USA 2026 v Las Vegas bezpečnostní výzkumníci Hedi Ingber a Aviyam Ivgi z firmy Stealth odhalili útočný vzor napříč platformami, který pojmenovali CoreBreak. Hlavní podstata: vrstvy pro spouštění nástrojů v Amazon Bedrock AgentCore, Google Agent Development Kit (ADK) a Vercel AI SDK bylo možné oklamat, aby spustily nástroj agenta bez jediného legitimního běhu modelu – to znamená, že systémové instrukce, filtry obsahu a bezpečnostní trénink byly zcela obcházeny .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CoreBreak: Zranitelnosti AI agentů u AWS, Google a Vercelu umožnily útoky mimo jakákoliv bezpečnostní opatření"?
CoreBreak je zranitelnost napříč platformami odhalená na Black Hat USA 2026 výzkumníky Hedi Ingberem a Aviyamem Ivgi ze společnosti Stealth.
What are the key points to validate first?
CoreBreak je zranitelnost napříč platformami odhalená na Black Hat USA 2026 výzkumníky Hedi Ingberem a Aviyamem Ivgi ze společnosti Stealth. Nejvyšší závažnost měla chyba v Google ADK se skóre CVSS 9,3 (Critical); u AWS byla záplata nasazena automaticky, ale uživatelé open source Strands SDK zůstávají zranitelní.
What should I do next in practice?
Útok umožňuje spustit nástroje agenta bez jediného běhu modelu, čímž obchází systémové instrukce, filtry obsahu i bezpečnostní trénink.
Všechny tři společnosti opravily tyto zranitelnosti ve svých spravovaných nebo open-source produktech před 6. srpnem, kdy byly zveřejněny. Příběh tím ale nekončí: AWS odmítl opravit stejný útočný vektor v open-source Python SDK Strands, na kterém je postaven jeho AgentCore, a nechal tak uživatele vlastních instalací v ohrožení .
Postižené produkty, CVE a CVSS skóre
Dodavatel
Postižená komponenta
CVE
CVSS v4.0 skóre
Opraveno?
AWS
Amazon Bedrock AgentCore – InvokeHarness API
CVE-2026-18830
8,6 (Vysoké)
✅ Ano (spravovaná služba)
Google
Agent Development Kit (ADK) pro Python
CVE-2026-18236
9,3 (Kritické)
✅ Ano (ADK 2.5.0)
Vercel
AI SDK harness balíčky (Codex & OpenCode)
CVE-2026-64650 / CVE-2026-64651
6,3 (Střední)
✅ Ano (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
Neopravená chyba v open-source: Strands Python SDK
Strands Python SDK je open-source framework, který tvoří základ Amazon Bedrock AgentCore. AWS opravil cestu pro přeskočení modelu ve své spravované službě Bedrock AgentCore (CVE-2026-18830), ale odmítl opravit stejnou zranitelnost v open-source Strands Python SDK.
Co to je: Kódová cesta "přeskočení modelu", která umožňuje stejný útočný vzor CoreBreak – spouštění nástrojů agenta bez legitimního běhu modelu – v samostatně hostovaných, nespravovaných nasazeních .
Přiděleno CVE? Ne. AWS nepřiřadil této cestě v SDK žádné CVE ani nevydal bezpečnostní bulletin.
Zdůvodnění AWS: Společnost považuje SDK za vývojářský nástroj a očekává, že si downstream uživatelé implementují vlastní autorizační kontroly při použití mimo spravovanou službu Bedrock .
Riziko: Jakákoli aplikace postavená přímo na Strands Python SDK (bez použití spravovaného API Bedrock AgentCore) zůstává zranitelná vůči obejití volání nástrojů, pokud vývojář samostatně nepřidá logiku pro autorizaci běhu modelu.
Časové osy oprav a požadované akce uživatelů
AWS (CVE-2026-18830, CVSS 8,6): Opravil spravovanou službu Bedrock AgentCore na straně serveru. Uživatelé spravované služby nemuseli dělat nic. Uživatelé open-source Strands Python SDK (které je základem AgentCore) však zůstali v ohrožení, pokud si sami neimplementovali autorizační kontroly .
Google (CVE-2026-18236, CVSS 9,3): Opravil open-source Agent Development Kit pro Python ve verzi 2.5.0. Uživatelé musí aktualizovat svůj ADK Python balíček na nejnovější verzi .
Vercel (CVE-2026-64650/64651, CVSS 6,3): Opravil balíčky AI SDK harness. Uživatelé musí aktualizovat své závislosti Vercel AI SDK na opravené verze: @ai-sdk/harness-codex 1.0.29 a @ai-sdk/harness-opencode 1.0.28 .
Co to znamená pro bezpečnost AI agentů
CoreBreak není jedna softwarová chyba, ale důvěra na úrovni návrhu: všechny tři frameworky agentů implicitně věřily, že data ve tvaru volání nástroje, která dorazí do vrstvy spouštění, byla autorizována předchozím během modelu. Žádný framework nezávisle neověřoval tuto autorizaci . Tento vzor znamená, že i kdyby byl bezpečnostní trénink modelu dokonalý, útočník, který dokáže vložit data do potrubí volání – například přes kompromitovanou upstream službu nebo podvržený API požadavek – může spouštět nástroje, aniž by kdy aktivoval ochranná opatření modelu.
Díra v SDK Strands je obzvláště pozoruhodná, protože ukazuje, že cloudoví dodavatelé mohou opravit své spravované služby, ale zároveň ponechat stejnou zranitelnost otevřenou v open-source komponentách, které vývojáři používají pro vlastní nasazení. Pro organizace budující vlastní infrastrukturu AI agentů na Strands padá odpovědnost za autorizační logiku zcela na vývojářský tým.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
Všechny tři společnosti opravily tyto zranitelnosti ve svých spravovaných nebo open-source produktech před 6. srpnem, kdy byly zveřejněny. Příběh tím ale nekončí: AWS odmítl opravit stejný útočný vektor v open-source Python SDK Strands, na kterém je postaven jeho AgentCore, a nechal tak uživatele vlastních instalací v ohrožení .
Postižené produkty, CVE a CVSS skóre
Dodavatel
Postižená komponenta
CVE
CVSS v4.0 skóre
Opraveno?
AWS
Amazon Bedrock AgentCore – InvokeHarness API
CVE-2026-18830
8,6 (Vysoké)
✅ Ano (spravovaná služba)
Google
Agent Development Kit (ADK) pro Python
CVE-2026-18236
9,3 (Kritické)
✅ Ano (ADK 2.5.0)
Vercel
AI SDK harness balíčky (Codex & OpenCode)
CVE-2026-64650 / CVE-2026-64651
6,3 (Střední)
✅ Ano (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
Neopravená chyba v open-source: Strands Python SDK
Strands Python SDK je open-source framework, který tvoří základ Amazon Bedrock AgentCore. AWS opravil cestu pro přeskočení modelu ve své spravované službě Bedrock AgentCore (CVE-2026-18830), ale odmítl opravit stejnou zranitelnost v open-source Strands Python SDK.
Co to je: Kódová cesta "přeskočení modelu", která umožňuje stejný útočný vzor CoreBreak – spouštění nástrojů agenta bez legitimního běhu modelu – v samostatně hostovaných, nespravovaných nasazeních .
Přiděleno CVE? Ne. AWS nepřiřadil této cestě v SDK žádné CVE ani nevydal bezpečnostní bulletin.
Zdůvodnění AWS: Společnost považuje SDK za vývojářský nástroj a očekává, že si downstream uživatelé implementují vlastní autorizační kontroly při použití mimo spravovanou službu Bedrock .
Riziko: Jakákoli aplikace postavená přímo na Strands Python SDK (bez použití spravovaného API Bedrock AgentCore) zůstává zranitelná vůči obejití volání nástrojů, pokud vývojář samostatně nepřidá logiku pro autorizaci běhu modelu.
Časové osy oprav a požadované akce uživatelů
AWS (CVE-2026-18830, CVSS 8,6): Opravil spravovanou službu Bedrock AgentCore na straně serveru. Uživatelé spravované služby nemuseli dělat nic. Uživatelé open-source Strands Python SDK (které je základem AgentCore) však zůstali v ohrožení, pokud si sami neimplementovali autorizační kontroly .
Google (CVE-2026-18236, CVSS 9,3): Opravil open-source Agent Development Kit pro Python ve verzi 2.5.0. Uživatelé musí aktualizovat svůj ADK Python balíček na nejnovější verzi .
Vercel (CVE-2026-64650/64651, CVSS 6,3): Opravil balíčky AI SDK harness. Uživatelé musí aktualizovat své závislosti Vercel AI SDK na opravené verze: @ai-sdk/harness-codex 1.0.29 a @ai-sdk/harness-opencode 1.0.28 .
Co to znamená pro bezpečnost AI agentů
CoreBreak není jedna softwarová chyba, ale důvěra na úrovni návrhu: všechny tři frameworky agentů implicitně věřily, že data ve tvaru volání nástroje, která dorazí do vrstvy spouštění, byla autorizována předchozím během modelu. Žádný framework nezávisle neověřoval tuto autorizaci . Tento vzor znamená, že i kdyby byl bezpečnostní trénink modelu dokonalý, útočník, který dokáže vložit data do potrubí volání – například přes kompromitovanou upstream službu nebo podvržený API požadavek – může spouštět nástroje, aniž by kdy aktivoval ochranná opatření modelu.
Díra v SDK Strands je obzvláště pozoruhodná, protože ukazuje, že cloudoví dodavatelé mohou opravit své spravované služby, ale zároveň ponechat stejnou zranitelnost otevřenou v open-source komponentách, které vývojáři používají pro vlastní nasazení. Pro organizace budující vlastní infrastrukturu AI agentů na Strands padá odpovědnost za autorizační logiku zcela na vývojářský tým.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
