CoreBreak : les agents IA d'AWS, Google et Vercel vulnérables à un contournement massif des garde-fous

Les trois éditeurs ont corrigé les vulnérabilités dans leurs produits managés ou open-source avant la divulgation du 6 août . Mais l'histoire ne s'arrête pas là : AWS a refusé de corriger la même voie d'attaque dans le SDK Python Strands open-source qui sous-tend son harness AgentCore, laissant les utilisateurs auto-hébergés exposés .

Produits concernés, CVE et scores CVSS

La faille open-source non corrigée : Strands Python SDK

Le SDK Python Strands est le framework open-source qui sous-tend Amazon Bedrock AgentCore. AWS a corrigé le chemin de code de contournement du modèle dans son service managé Bedrock AgentCore (CVE-2026-18830) mais a refusé de corriger la même vulnérabilité dans le SDK Python Strands open-source .

• Ce que c'est : un chemin de code de "contournement du modèle" qui permet au même motif d'attaque CoreBreak — invoquer des outils d'agent sans un tour de modèle légitime — de réussir dans des déploiements auto-hébergés non managés .
• CVE attribuée ? Non. AWS n'a pas attribué de CVE ni publié de bulletin de sécurité pour ce chemin de code du SDK.
• Justification d'AWS : l'entreprise considère le SDK comme un outil de développement et s'attend à ce que les utilisateurs finaux mettent en œuvre leurs propres contrôles d'autorisation lorsqu'ils l'utilisent en dehors du service managé Bedrock .
• Risque : toute application construite directement sur le SDK Python Strands (sans passer par l'API managée Bedrock AgentCore) reste vulnérable au contournement de l'invocation d'outils, à moins que le développeur n'ajoute indépendamment une logique d'autorisation de tour de modèle.

Calendrier des correctifs et actions requises pour les utilisateurs

• AWS (CVE-2026-18830, CVSS 8.6) : le service managé Bedrock AgentCore a été corrigé côté serveur. Les utilisateurs du service managé n'ont aucune action à entreprendre. Cependant, les utilisateurs du SDK Python Strands open-source (qui sous-tend AgentCore) restent exposés à moins d'implémenter leurs propres contrôles d'autorisation .
• Google (CVE-2026-18236, CVSS 9.3) : le kit de développement d'agents open-source pour Python a été corrigé dans la version 2.5.0. Les utilisateurs doivent mettre à jour leur package ADK Python vers la dernière version .
• Vercel (CVE-2026-64650/64651, CVSS 6.3) : les paquets harness AI SDK ont été corrigés. Les utilisateurs doivent mettre à jour leurs dépendances Vercel AI SDK vers les versions corrigées : @ai-sdk/harness-codex 1.0.29 et @ai-sdk/harness-opencode 1.0.28 .

Ce que cela signifie pour la sécurité des agents IA

CoreBreak n'est pas un simple bug logiciel mais une hypothèse de confiance au niveau de la conception : les trois frameworks d'agents faisaient implicitement confiance au fait que les données en forme d'appel d'outil arrivant à la couche d'exécution avaient été autorisées par un tour de modèle préalable. Aucun framework n'a vérifié indépendamment cette autorisation . Ce schéma signifie que même si l'apprentissage de la sécurité d'un modèle est parfait, un attaquant qui peut injecter des données dans le pipeline d'invocation — par exemple, via un service amont compromis ou une requête API forgée — peut exécuter des outils sans jamais déclencher les garde-fous du modèle.

L'écart du SDK Strands est particulièrement notable car il démontre que les fournisseurs de cloud peuvent corriger leurs services managés tout en laissant la même vulnérabilité ouverte dans les composants open-source que les développeurs utilisent pour les déploiements auto-hébergés. Pour les organisations qui construisent une infrastructure d'agents IA personnalisée sur Strands, la responsabilité de la logique d'autorisation incombe entièrement à l'équipe de développement.