CoreBreak: El Patrón de Ataque que Permite Ejecutar Herramientas de IA sin Pasar por el Modelo
CoreBreak es un patrón de ataque multiplataforma presentado en Black Hat USA 2026 por los investigadores Hedi Ingber y Aviyam Ivgi de la firma Stealth. La vulnerabilidad más crítica (CVSS 9.3) afecta al Agent Development Kit (ADK) de Google; le siguen AWS Bedrock AgentCore (CVSS 8.6) y los paquetes harness de Vercel...
Publicado porEditado con DeepSeek-V4-FlashImágenes generadas con GPT Image 1.5
CoreBreak es un patrón de ataque multiplataforma presentado en Black Hat USA 2026 por los investigadores Hedi Ingber y Aviyam Ivgi de la firma Stealth.
La vulnerabilidad más crítica (CVSS 9.3) afecta al Agent Development Kit (ADK) de Google; le siguen AWS Bedrock AgentCore (CVSS 8.6) y los paquetes harness de Vercel AI SDK (CVSS 6.3).
AWS parcheó automáticamente su servicio gestionado, pero declinó corregir la misma ruta de ataque en el SDK de código abierto Strands Python, dejando expuestas las implementaciones autogestionadas.
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
En Black Hat USA 2026 en Las Vegas, los investigadores de seguridad Hedi Ingber y Aviyam Ivgi, de la firma Stealth, revelaron un patrón de ataque multiplataforma al que llamaron CoreBreak. La clave del hallazgo: las capas de ejecución de herramientas en Amazon Bedrock AgentCore, el Agent Development Kit (ADK) de Google y los paquetes harness del AI SDK de Vercel podían ser engañadas para ejecutar una herramienta del agente sin que nunca ocurriera una interacción legítima del modelo. Esto significa que los prompts del sistema, los filtros de contenido y el entrenamiento de rechazo quedaban completamente anulados .
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
¿Cuál es la respuesta corta a "CoreBreak: El Patrón de Ataque que Permite Ejecutar Herramientas de IA sin Pasar por el Modelo"?
CoreBreak es un patrón de ataque multiplataforma presentado en Black Hat USA 2026 por los investigadores Hedi Ingber y Aviyam Ivgi de la firma Stealth.
¿Cuáles son los puntos clave a validar primero?
CoreBreak es un patrón de ataque multiplataforma presentado en Black Hat USA 2026 por los investigadores Hedi Ingber y Aviyam Ivgi de la firma Stealth. La vulnerabilidad más crítica (CVSS 9.3) afecta al Agent Development Kit (ADK) de Google; le siguen AWS Bedrock AgentCore (CVSS 8.6) y los paquetes harness de Vercel AI SDK (CVSS 6.3).
¿Qué debo hacer a continuación en la práctica?
AWS parcheó automáticamente su servicio gestionado, pero declinó corregir la misma ruta de ataque en el SDK de código abierto Strands Python, dejando expuestas las implementaciones autogestionadas.
CoreBreak: El Patrón de Ataque que Permite Ejecutar Herramientas de IA sin Pasar por el Modelo
CoreBreak es un patrón de ataque multiplataforma presentado en Black Hat USA 2026 por los investigadores Hedi Ingber y Aviyam Ivgi de la firma Stealth. La vulnerabilidad más crítica (CVSS 9.3) afecta al Agent Development Kit (ADK) de Google; le siguen AWS Bedrock AgentCore (CVSS 8.6) y los paquetes harness de Vercel...
Publicado porEditado con DeepSeek-V4-FlashImágenes generadas con GPT Image 1.5
CoreBreak es un patrón de ataque multiplataforma presentado en Black Hat USA 2026 por los investigadores Hedi Ingber y Aviyam Ivgi de la firma Stealth.
La vulnerabilidad más crítica (CVSS 9.3) afecta al Agent Development Kit (ADK) de Google; le siguen AWS Bedrock AgentCore (CVSS 8.6) y los paquetes harness de Vercel AI SDK (CVSS 6.3).
AWS parcheó automáticamente su servicio gestionado, pero declinó corregir la misma ruta de ataque en el SDK de código abierto Strands Python, dejando expuestas las implementaciones autogestionadas.
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
En Black Hat USA 2026 en Las Vegas, los investigadores de seguridad Hedi Ingber y Aviyam Ivgi, de la firma Stealth, revelaron un patrón de ataque multiplataforma al que llamaron CoreBreak. La clave del hallazgo: las capas de ejecución de herramientas en Amazon Bedrock AgentCore, el Agent Development Kit (ADK) de Google y los paquetes harness del AI SDK de Vercel podían ser engañadas para ejecutar una herramienta del agente sin que nunca ocurriera una interacción legítima del modelo. Esto significa que los prompts del sistema, los filtros de contenido y el entrenamiento de rechazo quedaban completamente anulados .
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
¿Cuál es la respuesta corta a "CoreBreak: El Patrón de Ataque que Permite Ejecutar Herramientas de IA sin Pasar por el Modelo"?
CoreBreak es un patrón de ataque multiplataforma presentado en Black Hat USA 2026 por los investigadores Hedi Ingber y Aviyam Ivgi de la firma Stealth.
¿Cuáles son los puntos clave a validar primero?
CoreBreak es un patrón de ataque multiplataforma presentado en Black Hat USA 2026 por los investigadores Hedi Ingber y Aviyam Ivgi de la firma Stealth. La vulnerabilidad más crítica (CVSS 9.3) afecta al Agent Development Kit (ADK) de Google; le siguen AWS Bedrock AgentCore (CVSS 8.6) y los paquetes harness de Vercel AI SDK (CVSS 6.3).
¿Qué debo hacer a continuación en la práctica?
AWS parcheó automáticamente su servicio gestionado, pero declinó corregir la misma ruta de ataque en el SDK de código abierto Strands Python, dejando expuestas las implementaciones autogestionadas.
Los tres proveedores lanzaron parches para sus productos gestionados o de código abierto antes de la divulgación del 6 de agosto. Sin embargo, la historia no termina ahí: AWS declinó corregir la misma ruta de ataque en el SDK de código abierto Strands Python que subyace a su infraestructura AgentCore, dejando expuestos a los usuarios que lo utilicen por su cuenta .
Productos Afectados, CVEs y Puntuaciones CVSS
Proveedor
Componente Afectado
CVE(s)
Puntuación CVSS v4.0
¿Parcheado?
AWS
Amazon Bedrock AgentCore — API InvokeHarness
CVE-2026-18830
8.6 (Alta)
✅ Sí (servicio gestionado)
Google
Agent Development Kit (ADK) para Python
CVE-2026-18236
9.3 (Crítica)
✅ Sí (ADK 2.5.0)
Vercel
Paquetes harness del AI SDK (Codex y OpenCode)
CVE-2026-64650 / CVE-2026-64651
6.3 (Media)
✅ Sí (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
La Vulnerabilidad de Código Abierto No Parcheada: Strands Python SDK
El SDK Strands Python es el marco de código abierto en el que se basa Amazon Bedrock AgentCore. AWS parcheó la ruta de código que omitía el modelo en su servicio gestionado Bedrock AgentCore (CVE-2026-18830), pero declinó corregir la misma vulnerabilidad en el SDK de código abierto Strands Python.
¿Qué es exactamente? Una ruta de código que "salta el modelo" y que permite que el mismo patrón de ataque CoreBreak —invocar herramientas del agente sin una interacción legítima del modelo— funcione en despliegues autogestionados .
¿Tiene CVE asignado? No. AWS no asignó un CVE ni emitió un boletín de seguridad para esta ruta de código en el SDK.
Justificación de AWS: La compañía considera el SDK como una herramienta de desarrollo y espera que los usuarios finales implementen sus propias comprobaciones de autorización cuando lo usen fuera del servicio gestionado Bedrock .
Riesgo: Cualquier aplicación construida directamente sobre el SDK Strands Python (sin pasar por la API gestionada de Bedrock AgentCore) sigue siendo vulnerable a la omisión de invocación de herramientas, a menos que el desarrollador añada de forma independiente una lógica de autorización de interacción del modelo.
Cronología de Parches y Acciones Requeridas para el Usuario
AWS (CVE-2026-18830, CVSS 8.6): Parcheó el servicio gestionado Bedrock AgentCore en el lado del servidor. Los usuarios del servicio gestionado no necesitaron hacer nada. Sin embargo, los usuarios del SDK de código abierto Strands Python (que subyace a AgentCore) permanecieron expuestos a menos que implementaran sus propias comprobaciones de autorización .
Google (CVE-2026-18236, CVSS 9.3): Parcheó el Agent Development Kit de código abierto para Python en la versión 2.5.0. Los usuarios deben actualizar su paquete ADK Python a la última versión .
Vercel (CVE-2026-64650/64651, CVSS 6.3): Parcheó los paquetes harness del AI SDK. Los usuarios deben actualizar sus dependencias del AI SDK de Vercel a las versiones parcheadas: @ai-sdk/harness-codex 1.0.29 y @ai-sdk/harness-opencode 1.0.28 .
Lo Que Esto Significa para la Seguridad de los Agentes de IA
CoreBreak no es un simple error de software, sino una suposición de confianza a nivel de diseño: los tres marcos de agentes confiaban implícitamente en que los datos con forma de llamada a herramienta que llegaban a la capa de ejecución habían sido autorizados por una interacción previa del modelo. Ningún marco verificaba esa autorización de forma independiente . Este patrón implica que, incluso si el entrenamiento de seguridad del modelo es perfecto, un atacante que pueda inyectar datos en el pipeline de invocación —por ejemplo, a través de un servicio ascendente comprometido o una solicitud API manipulada— puede ejecutar herramientas sin activar nunca las barreras de seguridad del modelo.
La brecha del SDK Strands es particularmente notable porque demuestra que los proveedores de la nube pueden parchear sus servicios gestionados mientras dejan la misma vulnerabilidad abierta en los componentes de código abierto que los desarrolladores utilizan para despliegues autogestionados. Para las organizaciones que construyen infraestructura de agentes de IA personalizada sobre Strands, la responsabilidad de la lógica de autorización recae completamente en el equipo de desarrollo.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
Los tres proveedores lanzaron parches para sus productos gestionados o de código abierto antes de la divulgación del 6 de agosto. Sin embargo, la historia no termina ahí: AWS declinó corregir la misma ruta de ataque en el SDK de código abierto Strands Python que subyace a su infraestructura AgentCore, dejando expuestos a los usuarios que lo utilicen por su cuenta .
Productos Afectados, CVEs y Puntuaciones CVSS
Proveedor
Componente Afectado
CVE(s)
Puntuación CVSS v4.0
¿Parcheado?
AWS
Amazon Bedrock AgentCore — API InvokeHarness
CVE-2026-18830
8.6 (Alta)
✅ Sí (servicio gestionado)
Google
Agent Development Kit (ADK) para Python
CVE-2026-18236
9.3 (Crítica)
✅ Sí (ADK 2.5.0)
Vercel
Paquetes harness del AI SDK (Codex y OpenCode)
CVE-2026-64650 / CVE-2026-64651
6.3 (Media)
✅ Sí (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
La Vulnerabilidad de Código Abierto No Parcheada: Strands Python SDK
El SDK Strands Python es el marco de código abierto en el que se basa Amazon Bedrock AgentCore. AWS parcheó la ruta de código que omitía el modelo en su servicio gestionado Bedrock AgentCore (CVE-2026-18830), pero declinó corregir la misma vulnerabilidad en el SDK de código abierto Strands Python.
¿Qué es exactamente? Una ruta de código que "salta el modelo" y que permite que el mismo patrón de ataque CoreBreak —invocar herramientas del agente sin una interacción legítima del modelo— funcione en despliegues autogestionados .
¿Tiene CVE asignado? No. AWS no asignó un CVE ni emitió un boletín de seguridad para esta ruta de código en el SDK.
Justificación de AWS: La compañía considera el SDK como una herramienta de desarrollo y espera que los usuarios finales implementen sus propias comprobaciones de autorización cuando lo usen fuera del servicio gestionado Bedrock .
Riesgo: Cualquier aplicación construida directamente sobre el SDK Strands Python (sin pasar por la API gestionada de Bedrock AgentCore) sigue siendo vulnerable a la omisión de invocación de herramientas, a menos que el desarrollador añada de forma independiente una lógica de autorización de interacción del modelo.
Cronología de Parches y Acciones Requeridas para el Usuario
AWS (CVE-2026-18830, CVSS 8.6): Parcheó el servicio gestionado Bedrock AgentCore en el lado del servidor. Los usuarios del servicio gestionado no necesitaron hacer nada. Sin embargo, los usuarios del SDK de código abierto Strands Python (que subyace a AgentCore) permanecieron expuestos a menos que implementaran sus propias comprobaciones de autorización .
Google (CVE-2026-18236, CVSS 9.3): Parcheó el Agent Development Kit de código abierto para Python en la versión 2.5.0. Los usuarios deben actualizar su paquete ADK Python a la última versión .
Vercel (CVE-2026-64650/64651, CVSS 6.3): Parcheó los paquetes harness del AI SDK. Los usuarios deben actualizar sus dependencias del AI SDK de Vercel a las versiones parcheadas: @ai-sdk/harness-codex 1.0.29 y @ai-sdk/harness-opencode 1.0.28 .
Lo Que Esto Significa para la Seguridad de los Agentes de IA
CoreBreak no es un simple error de software, sino una suposición de confianza a nivel de diseño: los tres marcos de agentes confiaban implícitamente en que los datos con forma de llamada a herramienta que llegaban a la capa de ejecución habían sido autorizados por una interacción previa del modelo. Ningún marco verificaba esa autorización de forma independiente . Este patrón implica que, incluso si el entrenamiento de seguridad del modelo es perfecto, un atacante que pueda inyectar datos en el pipeline de invocación —por ejemplo, a través de un servicio ascendente comprometido o una solicitud API manipulada— puede ejecutar herramientas sin activar nunca las barreras de seguridad del modelo.
La brecha del SDK Strands es particularmente notable porque demuestra que los proveedores de la nube pueden parchear sus servicios gestionados mientras dejan la misma vulnerabilidad abierta en los componentes de código abierto que los desarrolladores utilizan para despliegues autogestionados. Para las organizaciones que construyen infraestructura de agentes de IA personalizada sobre Strands, la responsabilidad de la lógica de autorización recae completamente en el equipo de desarrollo.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
