CoreBreak: Kritische Sicherheitslücken in KI-Agenten-Plattformen von AWS, Google und Vercel aufgedeckt
CoreBreak ist eine plattformübergreifende Angriffsmethode, die auf der Black Hat USA 2026 von den Forschern Hedi Ingber und Aviyam Ivgi von Stealth vorgestellt wurde. Die schwerwiegendste Lücke fand sich in Googles ADK (CVSS 9.3, kritisch); AWS patchte den verwalteten Dienst automatisch, doch selbst gehostete Instal...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
CoreBreak ist eine plattformübergreifende Angriffsmethode, die auf der Black Hat USA 2026 von den Forschern Hedi Ingber und Aviyam Ivgi von Stealth vorgestellt wurde.
Die schwerwiegendste Lücke fand sich in Googles ADK (CVSS 9.3, kritisch); AWS patchte den verwalteten Dienst automatisch, doch selbst gehostete Installationen mit dem Strands SDK bleiben ungeschützt, es sei denn, Entw...
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
Auf der Black Hat USA 2026 in Las Vegas präsentierten die Sicherheitsforscher Hedi Ingber und Aviyam Ivgi von der Firma Stealth eine plattformübergreifende Angriffsmethode mit dem Namen CoreBreak. Die Kernentdeckung: Die Tool-Ausführungsebenen von Amazon Bedrock AgentCore, Googles Agent Development Kit (ADK) und den Vercel AI SDK Harness-Paketen konnten jeweils dazu gebracht werden, ein Agent-Tool auszuführen, ohne dass jemals ein legitimer Modelldurchlauf stattfand – System-Prompts, Inhaltsfilter und Refusal-Training wurden dadurch vollständig umgangen .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „CoreBreak: Kritische Sicherheitslücken in KI-Agenten-Plattformen von AWS, Google und Vercel aufgedeckt“?
CoreBreak ist eine plattformübergreifende Angriffsmethode, die auf der Black Hat USA 2026 von den Forschern Hedi Ingber und Aviyam Ivgi von Stealth vorgestellt wurde.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
CoreBreak ist eine plattformübergreifende Angriffsmethode, die auf der Black Hat USA 2026 von den Forschern Hedi Ingber und Aviyam Ivgi von Stealth vorgestellt wurde. Die schwerwiegendste Lücke fand sich in Googles ADK (CVSS 9.3, kritisch); AWS patchte den verwalteten Dienst automatisch, doch selbst gehostete Installationen mit dem Strands SDK bleiben ungeschützt, es sei denn, Entw...
CoreBreak: Kritische Sicherheitslücken in KI-Agenten-Plattformen von AWS, Google und Vercel aufgedeckt
CoreBreak ist eine plattformübergreifende Angriffsmethode, die auf der Black Hat USA 2026 von den Forschern Hedi Ingber und Aviyam Ivgi von Stealth vorgestellt wurde. Die schwerwiegendste Lücke fand sich in Googles ADK (CVSS 9.3, kritisch); AWS patchte den verwalteten Dienst automatisch, doch selbst gehostete Instal...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
CoreBreak ist eine plattformübergreifende Angriffsmethode, die auf der Black Hat USA 2026 von den Forschern Hedi Ingber und Aviyam Ivgi von Stealth vorgestellt wurde.
Die schwerwiegendste Lücke fand sich in Googles ADK (CVSS 9.3, kritisch); AWS patchte den verwalteten Dienst automatisch, doch selbst gehostete Installationen mit dem Strands SDK bleiben ungeschützt, es sei denn, Entw...
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
Auf der Black Hat USA 2026 in Las Vegas präsentierten die Sicherheitsforscher Hedi Ingber und Aviyam Ivgi von der Firma Stealth eine plattformübergreifende Angriffsmethode mit dem Namen CoreBreak. Die Kernentdeckung: Die Tool-Ausführungsebenen von Amazon Bedrock AgentCore, Googles Agent Development Kit (ADK) und den Vercel AI SDK Harness-Paketen konnten jeweils dazu gebracht werden, ein Agent-Tool auszuführen, ohne dass jemals ein legitimer Modelldurchlauf stattfand – System-Prompts, Inhaltsfilter und Refusal-Training wurden dadurch vollständig umgangen .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „CoreBreak: Kritische Sicherheitslücken in KI-Agenten-Plattformen von AWS, Google und Vercel aufgedeckt“?
CoreBreak ist eine plattformübergreifende Angriffsmethode, die auf der Black Hat USA 2026 von den Forschern Hedi Ingber und Aviyam Ivgi von Stealth vorgestellt wurde.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
CoreBreak ist eine plattformübergreifende Angriffsmethode, die auf der Black Hat USA 2026 von den Forschern Hedi Ingber und Aviyam Ivgi von Stealth vorgestellt wurde. Die schwerwiegendste Lücke fand sich in Googles ADK (CVSS 9.3, kritisch); AWS patchte den verwalteten Dienst automatisch, doch selbst gehostete Installationen mit dem Strands SDK bleiben ungeschützt, es sei denn, Entw...
Alle drei Anbieter haben die Schwachstellen in ihren verwalteten oder Open-Source-Produkten vor der Offenlegung am 6. August behoben . Die Geschichte endet hier jedoch nicht: AWS weigerte sich, denselben Angriffspfad im Open-Source-Strands-Python-SDK zu schließen, das die Grundlage für den AgentCore-Harness bildet, sodass selbst gehostete Nutzer weiterhin gefährdet sind .
Betroffene Produkte, CVEs und CVSS-Werte
Anbieter
Betroffene Komponente
CVE(s)
CVSS v4.0
Patch verfügbar?
AWS
Amazon Bedrock AgentCore – InvokeHarness API
CVE-2026-18830
8.6 (Hoch)
✅ Ja (Managed Service)
Google
Agent Development Kit (ADK) für Python
CVE-2026-18236
9.3 (Kritisch)
✅ Ja (ADK 2.5.0)
Vercel
AI SDK Harness-Pakete (Codex & OpenCode)
CVE-2026-64650 / CVE-2026-64651
6.3 (Mittel)
✅ Ja (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
Die ungepatchte Open-Source-Lücke: Strands Python SDK
Das Strands Python SDK ist das Open-Source-Framework, das Amazon Bedrock AgentCore zugrunde liegt. AWS hat den Modell-Überspringungspfad in seinem verwalteten Bedrock AgentCore-Dienst (CVE-2026-18830) gepatcht, sich jedoch geweigert, dieselbe Schwachstelle im Open-Source-Strands-Python-SDK zu schließen.
Was es ist: Ein Code-Pfad, der es ermöglicht, Agent-Tools ohne einen legitimen Modelldurchlauf aufzurufen – derselbe CoreBreak-Angriff – in selbst gehosteten, nicht verwalteten Umgebungen .
CVE zugewiesen? Nein. AWS hat für diesen SDK-Pfad weder eine CVE vergeben noch ein Sicherheitsbulletin herausgegeben.
Begründung von AWS: Das Unternehmen betrachtet das SDK als Entwicklerwerkzeug und erwartet, dass nachgelagerte Nutzer bei einer Verwendung außerhalb des verwalteten Bedrock-Dienstes eigene Autorisierungsprüfungen implementieren .
Risiko: Jede Anwendung, die direkt auf dem Strands Python SDK aufbaut (ohne den verwalteten Bedrock AgentCore API zu nutzen), bleibt anfällig für Tool-Invocation-Bypass, sofern der Entwickler nicht eigenständig eine Autorisierungslogik für Modelldurchläufe hinzufügt.
Patch-Zeitpläne und erforderliche Nutzeraktionen
AWS (CVE-2026-18830, CVSS 8.6): Der verwaltete Bedrock AgentCore-Dienst wurde serverseitig gepatcht. Nutzer des verwalteten Dienstes mussten keine Maßnahmen ergreifen. Nutzer des Open-Source-Strands-Python-SDK blieben jedoch gefährdet, sofern sie keine eigenen Autorisierungsprüfungen implementierten .
Google (CVE-2026-18236, CVSS 9.3): Das Open-Source-Agent Development Kit für Python wurde in Version 2.5.0 gepatcht. Nutzer müssen ihr ADK-Python-Paket aktualisieren.
Vercel (CVE-2026-64650/64651, CVSS 6.3): Die AI SDK Harness-Pakete wurden gepatcht. Nutzer müssen ihre Vercel-AI-SDK-Abhängigkeiten aktualisieren auf die gepatchten Versionen: @ai-sdk/harness-codex 1.0.29 und @ai-sdk/harness-opencode 1.0.28 .
Was dies für die Sicherheit von KI-Agenten bedeutet
CoreBreak ist kein einzelner Softwarefehler, sondern eine Vertrauensannahme auf Designebene: Alle drei Agent-Frameworks vertrauten implizit darauf, dass Daten, die in Form von Tool-Aufrufen an die Ausführungsebene gelangten, durch einen vorherigen Modelldurchlauf autorisiert worden waren. Kein Framework überprüfte diese Autorisierung eigenständig . Dieses Muster bedeutet, dass selbst bei perfektem Sicherheitstraining des Modells ein Angreifer, der Daten in die Aufrufpipeline einschleusen kann – beispielsweise über einen kompromittierten Upstream-Dienst oder eine manipulierte API-Anfrage – Tools ausführen kann, ohne jemals die Schutzmechanismen des Modells zu aktivieren.
Die Lücke im Strands SDK ist besonders bemerkenswert, da sie zeigt, dass Cloud-Anbieter ihre verwalteten Dienste patchen können, während sie dieselbe Schwachstelle in den Open-Source-Komponenten offen lassen, die Entwickler für selbst gehostete Installationen nutzen. Für Unternehmen, die eine eigene KI-Agenten-Infrastruktur auf Basis von Strands aufbauen, liegt die Verantwortung für die Autorisierungslogik vollständig beim Entwicklungsteam.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
Alle drei Anbieter haben die Schwachstellen in ihren verwalteten oder Open-Source-Produkten vor der Offenlegung am 6. August behoben . Die Geschichte endet hier jedoch nicht: AWS weigerte sich, denselben Angriffspfad im Open-Source-Strands-Python-SDK zu schließen, das die Grundlage für den AgentCore-Harness bildet, sodass selbst gehostete Nutzer weiterhin gefährdet sind .
Betroffene Produkte, CVEs und CVSS-Werte
Anbieter
Betroffene Komponente
CVE(s)
CVSS v4.0
Patch verfügbar?
AWS
Amazon Bedrock AgentCore – InvokeHarness API
CVE-2026-18830
8.6 (Hoch)
✅ Ja (Managed Service)
Google
Agent Development Kit (ADK) für Python
CVE-2026-18236
9.3 (Kritisch)
✅ Ja (ADK 2.5.0)
Vercel
AI SDK Harness-Pakete (Codex & OpenCode)
CVE-2026-64650 / CVE-2026-64651
6.3 (Mittel)
✅ Ja (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
Die ungepatchte Open-Source-Lücke: Strands Python SDK
Das Strands Python SDK ist das Open-Source-Framework, das Amazon Bedrock AgentCore zugrunde liegt. AWS hat den Modell-Überspringungspfad in seinem verwalteten Bedrock AgentCore-Dienst (CVE-2026-18830) gepatcht, sich jedoch geweigert, dieselbe Schwachstelle im Open-Source-Strands-Python-SDK zu schließen.
Was es ist: Ein Code-Pfad, der es ermöglicht, Agent-Tools ohne einen legitimen Modelldurchlauf aufzurufen – derselbe CoreBreak-Angriff – in selbst gehosteten, nicht verwalteten Umgebungen .
CVE zugewiesen? Nein. AWS hat für diesen SDK-Pfad weder eine CVE vergeben noch ein Sicherheitsbulletin herausgegeben.
Begründung von AWS: Das Unternehmen betrachtet das SDK als Entwicklerwerkzeug und erwartet, dass nachgelagerte Nutzer bei einer Verwendung außerhalb des verwalteten Bedrock-Dienstes eigene Autorisierungsprüfungen implementieren .
Risiko: Jede Anwendung, die direkt auf dem Strands Python SDK aufbaut (ohne den verwalteten Bedrock AgentCore API zu nutzen), bleibt anfällig für Tool-Invocation-Bypass, sofern der Entwickler nicht eigenständig eine Autorisierungslogik für Modelldurchläufe hinzufügt.
Patch-Zeitpläne und erforderliche Nutzeraktionen
AWS (CVE-2026-18830, CVSS 8.6): Der verwaltete Bedrock AgentCore-Dienst wurde serverseitig gepatcht. Nutzer des verwalteten Dienstes mussten keine Maßnahmen ergreifen. Nutzer des Open-Source-Strands-Python-SDK blieben jedoch gefährdet, sofern sie keine eigenen Autorisierungsprüfungen implementierten .
Google (CVE-2026-18236, CVSS 9.3): Das Open-Source-Agent Development Kit für Python wurde in Version 2.5.0 gepatcht. Nutzer müssen ihr ADK-Python-Paket aktualisieren.
Vercel (CVE-2026-64650/64651, CVSS 6.3): Die AI SDK Harness-Pakete wurden gepatcht. Nutzer müssen ihre Vercel-AI-SDK-Abhängigkeiten aktualisieren auf die gepatchten Versionen: @ai-sdk/harness-codex 1.0.29 und @ai-sdk/harness-opencode 1.0.28 .
Was dies für die Sicherheit von KI-Agenten bedeutet
CoreBreak ist kein einzelner Softwarefehler, sondern eine Vertrauensannahme auf Designebene: Alle drei Agent-Frameworks vertrauten implizit darauf, dass Daten, die in Form von Tool-Aufrufen an die Ausführungsebene gelangten, durch einen vorherigen Modelldurchlauf autorisiert worden waren. Kein Framework überprüfte diese Autorisierung eigenständig . Dieses Muster bedeutet, dass selbst bei perfektem Sicherheitstraining des Modells ein Angreifer, der Daten in die Aufrufpipeline einschleusen kann – beispielsweise über einen kompromittierten Upstream-Dienst oder eine manipulierte API-Anfrage – Tools ausführen kann, ohne jemals die Schutzmechanismen des Modells zu aktivieren.
Die Lücke im Strands SDK ist besonders bemerkenswert, da sie zeigt, dass Cloud-Anbieter ihre verwalteten Dienste patchen können, während sie dieselbe Schwachstelle in den Open-Source-Komponenten offen lassen, die Entwickler für selbst gehostete Installationen nutzen. Für Unternehmen, die eine eigene KI-Agenten-Infrastruktur auf Basis von Strands aufbauen, liegt die Verantwortung für die Autorisierungslogik vollständig beim Entwicklungsteam.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
