CoreBreak: AI-agent-sårbarheder hos AWS, Google og Vercel omgår alle sikkerhedsforanstaltninger
CoreBreak er et tværgående angrebsmønster, præsenteret på Black Hat USA 2026 af forskerne Hedi Ingber og Aviyam Ivgi fra Stealth. Den mest alvorlige sårbarhed blev fundet i Googles ADK med en CVSS score på 9,3 (kritisk); AWS rettede sin administrerede tjeneste, men selv hostede installationer med Strands SDK forbliv...
Udgivet afRedigeret med DeepSeek-V4-FlashBilleder genereret med GPT Image 1.5
CoreBreak er et tværgående angrebsmønster, præsenteret på Black Hat USA 2026 af forskerne Hedi Ingber og Aviyam Ivgi fra Stealth.
Den mest alvorlige sårbarhed blev fundet i Googles ADK med en CVSS score på 9,3 (kritisk); AWS rettede sin administrerede tjeneste, men selv hostede installationer med Strands SDK forbliver sårbare.
Google og Vercel har udsendt patches, som brugere selv skal installere; AWS' patch krævede ingen handling fra kunder, der benytter den administrerede Bedrock tjeneste.
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
På Black Hat USA 2026 i Las Vegas afslørede sikkerhedsforskerne Hedi Ingber og Aviyam Ivgi fra firmaet Stealth et tværgående angrebsmønster, som de døbte CoreBreak. Kernen i opdagelsen: Værktøjsudførelseslagene i Amazon Bedrock AgentCore, Googles Agent Development Kit (ADK) og Vercels AI SDK-harness kunne hver især narres til at køre et agentværktøj uden at en legitim modelrunde nogensinde fandt sted – hvilket betyder, at systemprompter, indholdsfiltre og afvisningstræning blev fuldstændig omgået .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CoreBreak: AI-agent-sårbarheder hos AWS, Google og Vercel omgår alle sikkerhedsforanstaltninger"?
CoreBreak er et tværgående angrebsmønster, præsenteret på Black Hat USA 2026 af forskerne Hedi Ingber og Aviyam Ivgi fra Stealth.
What are the key points to validate first?
CoreBreak er et tværgående angrebsmønster, præsenteret på Black Hat USA 2026 af forskerne Hedi Ingber og Aviyam Ivgi fra Stealth. Den mest alvorlige sårbarhed blev fundet i Googles ADK med en CVSS score på 9,3 (kritisk); AWS rettede sin administrerede tjeneste, men selv hostede installationer med Strands SDK forbliver sårbare.
What should I do next in practice?
Google og Vercel har udsendt patches, som brugere selv skal installere; AWS' patch krævede ingen handling fra kunder, der benytter den administrerede Bedrock tjeneste.
CoreBreak: AI-agent-sårbarheder hos AWS, Google og Vercel omgår alle sikkerhedsforanstaltninger
CoreBreak er et tværgående angrebsmønster, præsenteret på Black Hat USA 2026 af forskerne Hedi Ingber og Aviyam Ivgi fra Stealth. Den mest alvorlige sårbarhed blev fundet i Googles ADK med en CVSS score på 9,3 (kritisk); AWS rettede sin administrerede tjeneste, men selv hostede installationer med Strands SDK forbliv...
Udgivet afRedigeret med DeepSeek-V4-FlashBilleder genereret med GPT Image 1.5
CoreBreak er et tværgående angrebsmønster, præsenteret på Black Hat USA 2026 af forskerne Hedi Ingber og Aviyam Ivgi fra Stealth.
Den mest alvorlige sårbarhed blev fundet i Googles ADK med en CVSS score på 9,3 (kritisk); AWS rettede sin administrerede tjeneste, men selv hostede installationer med Strands SDK forbliver sårbare.
Google og Vercel har udsendt patches, som brugere selv skal installere; AWS' patch krævede ingen handling fra kunder, der benytter den administrerede Bedrock tjeneste.
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
På Black Hat USA 2026 i Las Vegas afslørede sikkerhedsforskerne Hedi Ingber og Aviyam Ivgi fra firmaet Stealth et tværgående angrebsmønster, som de døbte CoreBreak. Kernen i opdagelsen: Værktøjsudførelseslagene i Amazon Bedrock AgentCore, Googles Agent Development Kit (ADK) og Vercels AI SDK-harness kunne hver især narres til at køre et agentværktøj uden at en legitim modelrunde nogensinde fandt sted – hvilket betyder, at systemprompter, indholdsfiltre og afvisningstræning blev fuldstændig omgået .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CoreBreak: AI-agent-sårbarheder hos AWS, Google og Vercel omgår alle sikkerhedsforanstaltninger"?
CoreBreak er et tværgående angrebsmønster, præsenteret på Black Hat USA 2026 af forskerne Hedi Ingber og Aviyam Ivgi fra Stealth.
What are the key points to validate first?
CoreBreak er et tværgående angrebsmønster, præsenteret på Black Hat USA 2026 af forskerne Hedi Ingber og Aviyam Ivgi fra Stealth. Den mest alvorlige sårbarhed blev fundet i Googles ADK med en CVSS score på 9,3 (kritisk); AWS rettede sin administrerede tjeneste, men selv hostede installationer med Strands SDK forbliver sårbare.
What should I do next in practice?
Google og Vercel har udsendt patches, som brugere selv skal installere; AWS' patch krævede ingen handling fra kunder, der benytter den administrerede Bedrock tjeneste.
Alle tre leverandører rettede sårbarhederne i deres administrerede eller open source-produkter før offentliggørelsen den 6. august. Men historien slutter ikke her: AWS afviste at rette den samme angrebsvej i det open source-baserede Strands Python SDK, der ligger til grund for deres AgentCore-harness, hvilket efterlader selv-hostede brugere ubeskyttede .
Berørte produkter, CVE'er og CVSS-scorer
Leverandør
Berørt komponent
CVE(r)
CVSS v4.0-score
Rettet?
AWS
Amazon Bedrock AgentCore – InvokeHarness API
CVE-2026-18830
8,6 (Høj)
✅ Ja (administreret tjeneste)
Google
Agent Development Kit (ADK) til Python
CVE-2026-18236
9,3 (Kritisk)
✅ Ja (ADK 2.5.0)
Vercel
AI SDK-harness-pakker (Codex & OpenCode)
CVE-2026-64650 / CVE-2026-64651
6,3 (Medium)
✅ Ja (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
Den uoprettede open source-sårbarhed: Strands Python SDK
Strands Python SDK er den open source-ramme, der ligger under Amazon Bedrock AgentCore. AWS rettede modelomgangs-kodevejen i deres administrerede Bedrock AgentCore-tjeneste (CVE-2026-18830), men afviste at rette den samme sårbarhed i det open source-baserede Strands Python SDK.
Hvad det er: En "modelomgangs"-kodevej, der tillader det samme CoreBreak-angrebsmønster – at aktivere agentværktøjer uden en legitim modelrunde – i selv-hostede, ikke-administrerede installationer .
CVE tildelt? Nej. AWS tildelte ikke en CVE eller udsendte en sikkerhedsbulletin for denne SDK-kodevej.
AWS' begrundelse: Virksomheden betragter SDK'et som et udviklerværktøj og forventer, at downstream-brugere implementerer deres egne autorisationskontroller, når de bruger det uden for den administrerede Bedrock-tjeneste .
Risiko: Enhver applikation, der er bygget direkte på Strands Python SDK (uden at gå gennem det administrerede Bedrock AgentCore API), forbliver sårbar over for værktøjsaktiveringsomgåelse, medmindre udvikleren uafhængigt tilføjer autorisationslogik for modelrunder.
Patch-tidslinjer og nødvendige brugerhandlinger
AWS (CVE-2026-18830, CVSS 8,6): Rettede den administrerede Bedrock AgentCore-tjeneste på serversiden. Brugere af den administrerede tjeneste skulle ikke foretage sig noget. Brugere af det open source-baserede Strands Python SDK (som ligger under AgentCore) forblev dog ubeskyttede, medmindre de selv implementerede autorisationskontroller .
Google (CVE-2026-18236, CVSS 9,3): Rettede det open source-baserede Agent Development Kit til Python i version 2.5.0. Brugere skal opdatere deres ADK Python-pakke til den nyeste version .
Vercel (CVE-2026-64650/64651, CVSS 6,3): Rettede AI SDK-harness-pakkerne. Brugere skal opdatere deres Vercel AI SDK-afhængigheder til de rettede versioner: @ai-sdk/harness-codex 1.0.29 og @ai-sdk/harness-opencode 1.0.28 .
Hvad dette betyder for AI-agent-sikkerhed
CoreBreak er ikke en enkelt softwarefejl, men en tillidsantagelse på designniveau: alle tre agentrammer stolede implicit på, at data formet som værktøjskald, der ankom til udførelseslaget, var blevet autoriseret af en tidligere modelrunde. Ingen ramme verificerede uafhængigt denne autorisation . Dette mønster betyder, at selv hvis en models sikkerhedstræning er perfekt, kan en angriber, der kan injicere data i aktiveringspipelinen – for eksempel via en kompromitteret upstream-tjeneste eller en manipuleret API-anmodning – udføre værktøjer uden nogensinde at udløse modellens sikkerhedsforanstaltninger.
Strands SDK-hullet er særligt bemærkelsesværdigt, fordi det viser, at cloud-leverandører kan rette deres administrerede tjenester, mens de efterlader den samme sårbarhed åben i de open source-komponenter, som udviklere bruger til selv-hostede installationer. For organisationer, der bygger brugerdefineret AI-agent-infrastruktur oven på Strands, er ansvaret for autorisationslogikken fuldstændig overladt til udviklingsteamet.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
Alle tre leverandører rettede sårbarhederne i deres administrerede eller open source-produkter før offentliggørelsen den 6. august. Men historien slutter ikke her: AWS afviste at rette den samme angrebsvej i det open source-baserede Strands Python SDK, der ligger til grund for deres AgentCore-harness, hvilket efterlader selv-hostede brugere ubeskyttede .
Berørte produkter, CVE'er og CVSS-scorer
Leverandør
Berørt komponent
CVE(r)
CVSS v4.0-score
Rettet?
AWS
Amazon Bedrock AgentCore – InvokeHarness API
CVE-2026-18830
8,6 (Høj)
✅ Ja (administreret tjeneste)
Google
Agent Development Kit (ADK) til Python
CVE-2026-18236
9,3 (Kritisk)
✅ Ja (ADK 2.5.0)
Vercel
AI SDK-harness-pakker (Codex & OpenCode)
CVE-2026-64650 / CVE-2026-64651
6,3 (Medium)
✅ Ja (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
Den uoprettede open source-sårbarhed: Strands Python SDK
Strands Python SDK er den open source-ramme, der ligger under Amazon Bedrock AgentCore. AWS rettede modelomgangs-kodevejen i deres administrerede Bedrock AgentCore-tjeneste (CVE-2026-18830), men afviste at rette den samme sårbarhed i det open source-baserede Strands Python SDK.
Hvad det er: En "modelomgangs"-kodevej, der tillader det samme CoreBreak-angrebsmønster – at aktivere agentværktøjer uden en legitim modelrunde – i selv-hostede, ikke-administrerede installationer .
CVE tildelt? Nej. AWS tildelte ikke en CVE eller udsendte en sikkerhedsbulletin for denne SDK-kodevej.
AWS' begrundelse: Virksomheden betragter SDK'et som et udviklerværktøj og forventer, at downstream-brugere implementerer deres egne autorisationskontroller, når de bruger det uden for den administrerede Bedrock-tjeneste .
Risiko: Enhver applikation, der er bygget direkte på Strands Python SDK (uden at gå gennem det administrerede Bedrock AgentCore API), forbliver sårbar over for værktøjsaktiveringsomgåelse, medmindre udvikleren uafhængigt tilføjer autorisationslogik for modelrunder.
Patch-tidslinjer og nødvendige brugerhandlinger
AWS (CVE-2026-18830, CVSS 8,6): Rettede den administrerede Bedrock AgentCore-tjeneste på serversiden. Brugere af den administrerede tjeneste skulle ikke foretage sig noget. Brugere af det open source-baserede Strands Python SDK (som ligger under AgentCore) forblev dog ubeskyttede, medmindre de selv implementerede autorisationskontroller .
Google (CVE-2026-18236, CVSS 9,3): Rettede det open source-baserede Agent Development Kit til Python i version 2.5.0. Brugere skal opdatere deres ADK Python-pakke til den nyeste version .
Vercel (CVE-2026-64650/64651, CVSS 6,3): Rettede AI SDK-harness-pakkerne. Brugere skal opdatere deres Vercel AI SDK-afhængigheder til de rettede versioner: @ai-sdk/harness-codex 1.0.29 og @ai-sdk/harness-opencode 1.0.28 .
Hvad dette betyder for AI-agent-sikkerhed
CoreBreak er ikke en enkelt softwarefejl, men en tillidsantagelse på designniveau: alle tre agentrammer stolede implicit på, at data formet som værktøjskald, der ankom til udførelseslaget, var blevet autoriseret af en tidligere modelrunde. Ingen ramme verificerede uafhængigt denne autorisation . Dette mønster betyder, at selv hvis en models sikkerhedstræning er perfekt, kan en angriber, der kan injicere data i aktiveringspipelinen – for eksempel via en kompromitteret upstream-tjeneste eller en manipuleret API-anmodning – udføre værktøjer uden nogensinde at udløse modellens sikkerhedsforanstaltninger.
Strands SDK-hullet er særligt bemærkelsesværdigt, fordi det viser, at cloud-leverandører kan rette deres administrerede tjenester, mens de efterlader den samme sårbarhed åben i de open source-komponenter, som udviklere bruger til selv-hostede installationer. For organisationer, der bygger brugerdefineret AI-agent-infrastruktur oven på Strands, er ansvaret for autorisationslogikken fuldstændig overladt til udviklingsteamet.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
