CoreBreak: El Patrón de Ataque que Permite Ejecutar Herramientas de IA sin Pasar por el Modelo

En Black Hat USA 2026 en Las Vegas, los investigadores de seguridad Hedi Ingber y Aviyam Ivgi, de la firma Stealth, revelaron un patrón de ataque multiplataforma al que llamaron CoreBreak . La clave del hallazgo: las capas de ejecución de herramientas en Amazon Bedrock AgentCore, el Agent Development Kit (ADK) de Google y los paquetes harness del AI SDK de Vercel podían ser engañadas para ejecutar una herramienta del agente sin que nunca ocurriera una interacción legítima del modelo. Esto significa que los prompts del sistema, los filtros de contenido y el entrenamiento de rechazo quedaban completamente anulados .

Los tres proveedores lanzaron parches para sus productos gestionados o de código abierto antes de la divulgación del 6 de agosto . Sin embargo, la historia no termina ahí: AWS declinó corregir la misma ruta de ataque en el SDK de código abierto Strands Python que subyace a su infraestructura AgentCore, dejando expuestos a los usuarios que lo utilicen por su cuenta .

Productos Afectados, CVEs y Puntuaciones CVSS

Proveedor	Componente Afectado	CVE(s)	Puntuación CVSS v4.0	¿Parcheado?
AWS	Amazon Bedrock AgentCore — API InvokeHarness	CVE-2026-18830	8.6 (Alta)	✅ Sí (servicio gestionado)
Google	Agent Development Kit (ADK) para Python	CVE-2026-18236	9.3 (Crítica)	✅ Sí (ADK 2.5.0)
Vercel	Paquetes harness del AI SDK (Codex y OpenCode)	CVE-2026-64650 / CVE-2026-64651	6.3 (Media)	✅ Sí (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)

La Vulnerabilidad de Código Abierto No Parcheada: Strands Python SDK

El SDK Strands Python es el marco de código abierto en el que se basa Amazon Bedrock AgentCore. AWS parcheó la ruta de código que omitía el modelo en su servicio gestionado Bedrock AgentCore (CVE-2026-18830), pero declinó corregir la misma vulnerabilidad en el SDK de código abierto Strands Python .

• ¿Qué es exactamente? Una ruta de código que "salta el modelo" y que permite que el mismo patrón de ataque CoreBreak —invocar herramientas del agente sin una interacción legítima del modelo— funcione en despliegues autogestionados .
• ¿Tiene CVE asignado? No. AWS no asignó un CVE ni emitió un boletín de seguridad para esta ruta de código en el SDK.
• Justificación de AWS: La compañía considera el SDK como una herramienta de desarrollo y espera que los usuarios finales implementen sus propias comprobaciones de autorización cuando lo usen fuera del servicio gestionado Bedrock .
• Riesgo: Cualquier aplicación construida directamente sobre el SDK Strands Python (sin pasar por la API gestionada de Bedrock AgentCore) sigue siendo vulnerable a la omisión de invocación de herramientas, a menos que el desarrollador añada de forma independiente una lógica de autorización de interacción del modelo.

Cronología de Parches y Acciones Requeridas para el Usuario

• AWS (CVE-2026-18830, CVSS 8.6): Parcheó el servicio gestionado Bedrock AgentCore en el lado del servidor. Los usuarios del servicio gestionado no necesitaron hacer nada. Sin embargo, los usuarios del SDK de código abierto Strands Python (que subyace a AgentCore) permanecieron expuestos a menos que implementaran sus propias comprobaciones de autorización .
• Google (CVE-2026-18236, CVSS 9.3): Parcheó el Agent Development Kit de código abierto para Python en la versión 2.5.0. Los usuarios deben actualizar su paquete ADK Python a la última versión .
• Vercel (CVE-2026-64650/64651, CVSS 6.3): Parcheó los paquetes harness del AI SDK. Los usuarios deben actualizar sus dependencias del AI SDK de Vercel a las versiones parcheadas: @ai-sdk/harness-codex 1.0.29 y @ai-sdk/harness-opencode 1.0.28 .

Lo Que Esto Significa para la Seguridad de los Agentes de IA

CoreBreak no es un simple error de software, sino una suposición de confianza a nivel de diseño: los tres marcos de agentes confiaban implícitamente en que los datos con forma de llamada a herramienta que llegaban a la capa de ejecución habían sido autorizados por una interacción previa del modelo. Ningún marco verificaba esa autorización de forma independiente . Este patrón implica que, incluso si el entrenamiento de seguridad del modelo es perfecto, un atacante que pueda inyectar datos en el pipeline de invocación —por ejemplo, a través de un servicio ascendente comprometido o una solicitud API manipulada— puede ejecutar herramientas sin activar nunca las barreras de seguridad del modelo.

La brecha del SDK Strands es particularmente notable porque demuestra que los proveedores de la nube pueden parchear sus servicios gestionados mientras dejan la misma vulnerabilidad abierta en los componentes de código abierto que los desarrolladores utilizan para despliegues autogestionados. Para las organizaciones que construyen infraestructura de agentes de IA personalizada sobre Strands, la responsabilidad de la lógica de autorización recae completamente en el equipo de desarrollo.