CoreBreak: Celah Keamanan AI Agent yang Memungkinkan Peretas Lewati Semua Guardrail di AWS, Google, dan Vercel

Ketiga vendor telah menambal celah di produk terkelola atau sumber terbuka mereka sebelum pengungkapan pada 6 Agustus . Namun, ada satu masalah yang belum selesai: AWS menolak untuk menambal celah serupa di Strands Python SDK sumber terbuka yang menjadi dasar AgentCore, sehingga pengguna yang menjalankan sendiri (self-hosted) tetap rentan .

Produk Terdampak, CVE, dan Skor CVSS

Celah Sumber Terbuka yang Belum Ditambal: Strands Python SDK

Strands Python SDK adalah framework sumber terbuka yang mendasari Amazon Bedrock AgentCore. AWS memang telah menambal jalur kode yang memungkinkan model dilewati di layanan terkelola Bedrock AgentCore (CVE-2026-18830), namun menolak untuk menambal kerentanan yang sama di Strands Python SDK versi sumber terbuka .

• Apa itu: Jalur kode yang memungkinkan pola serangan CoreBreak yang sama—memanggil alat agent tanpa giliran model yang sah—untuk berhasil di deployment mandiri yang tidak dikelola oleh AWS .
• Apakah ada CVE? Tidak. AWS tidak memberikan CVE atau menerbitkan buletin keamanan untuk jalur kode SDK ini.
• Alasan AWS: Perusahaan tersebut menganggap SDK sebagai alat pengembang dan mengharapkan pengguna hilir untuk menerapkan pemeriksaan otorisasi mereka sendiri saat menggunakannya di luar layanan Bedrock terkelola .
• Risiko: Aplikasi apa pun yang dibangun langsung di atas Strands Python SDK (tanpa melalui API Bedrock AgentCore terkelola) tetap rentan terhadap serangan pemanggilan alat tanpa otorisasi, kecuali pengembang secara mandiri menambahkan logika otorisasi giliran model.

Jadwal Patch dan Tindakan yang Diperlukan Pengguna

• AWS (CVE-2026-18830, CVSS 8.6): Kerentanan pada layanan terkelola Bedrock AgentCore telah ditambal di sisi server. Pengguna layanan terkelola tidak perlu melakukan tindakan apa pun. Namun, pengguna Strands Python SDK sumber terbuka (yang mendasari AgentCore) tetap rentan jika tidak menerapkan pemeriksaan otorisasi mereka sendiri .
• Google (CVE-2026-18236, CVSS 9.3): Kerentanan pada Agent Development Kit sumber terbuka untuk Python telah ditambal di versi 2.5.0. Pengguna harus memperbarui paket ADK Python mereka ke versi terbaru .
• Vercel (CVE-2026-64650/64651, CVSS 6.3): Kerentanan pada paket harness AI SDK telah ditambal. Pengguna harus memperbarui dependensi Vercel AI SDK mereka ke versi yang sudah ditambal: @ai-sdk/harness-codex 1.0.29 dan @ai-sdk/harness-opencode 1.0.28 .

Apa Artinya Ini bagi Keamanan AI Agent?

CoreBreak bukanlah satu bug perangkat lunak, melainkan asumsi kepercayaan pada level desain: ketiga framework agent secara implisit mempercayai bahwa data berbentuk panggilan alat yang tiba di lapisan eksekusi telah diotorisasi oleh giliran model sebelumnya. Tidak ada satu pun framework yang secara independen memverifikasi otorisasi tersebut . Pola ini berarti bahwa bahkan jika pelatihan keamanan model AI sempurna sekalipun, seorang penyerang yang dapat menyuntikkan data ke dalam saluran pemanggilan—misalnya, melalui layanan hulu yang disusupi atau permintaan API yang direkayasa—dapat mengeksekusi alat tanpa pernah memicu guardrail model.

Kesenjangan pada Strands SDK menjadi perhatian khusus karena menunjukkan bahwa vendor cloud dapat menambal layanan terkelola mereka sambil membiarkan kerentanan yang sama terbuka di komponen sumber terbuka yang digunakan pengembang untuk deployment mandiri. Bagi organisasi yang membangun infrastruktur AI agent kustom di atas Strands, tanggung jawab untuk logika otorisasi sepenuhnya berada di tangan tim pengembang.