CoreBreak: scoperte falle critiche negli agenti AI di AWS, Google e Vercel
CoreBreak è un pattern di attacco cross platform presentato al Black Hat USA 2026 dai ricercatori Hedi Ingber e Aviyam Ivgi di Stealth. La falla più grave (CVSS 9.3, Critica) riguarda Google ADK; la patch di AWS per il servizio gestito non richiede azioni, ma le distribuzioni self hosted basate su SDK Strands rimang...
Pubblicato daModificato con DeepSeek-V4-FlashImmagini generate con GPT Image 1.5
CoreBreak è un pattern di attacco cross platform presentato al Black Hat USA 2026 dai ricercatori Hedi Ingber e Aviyam Ivgi di Stealth.
La falla più grave (CVSS 9.3, Critica) riguarda Google ADK; la patch di AWS per il servizio gestito non richiede azioni, ma le distribuzioni self hosted basate su SDK Strands rimangono esposte.
Le vulnerabilità permettono di aggirare tutti i guardrail: i tool degli agenti vengono eseguiti senza alcuna autorizzazione da parte del modello AI.
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
Al Black Hat USA 2026 di Las Vegas, i ricercatori di sicurezza Hedi Ingber e Aviyam Ivgi della società Stealth hanno rivelato un modello di attacco cross-platform chiamato CoreBreak. Il cuore del problema: i livelli di esecuzione degli strumenti in Amazon Bedrock AgentCore, Google Agent Development Kit (ADK) e nei pacchetti harness di Vercel AI SDK potevano essere ingannati per eseguire uno strumento dell'agente senza che si fosse mai verificato un turno legittimo del modello — di conseguenza, i prompt di sistema, i filtri contenuto e i guardrail venivano completamente aggirati .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CoreBreak: scoperte falle critiche negli agenti AI di AWS, Google e Vercel"?
CoreBreak è un pattern di attacco cross platform presentato al Black Hat USA 2026 dai ricercatori Hedi Ingber e Aviyam Ivgi di Stealth.
What are the key points to validate first?
CoreBreak è un pattern di attacco cross platform presentato al Black Hat USA 2026 dai ricercatori Hedi Ingber e Aviyam Ivgi di Stealth. La falla più grave (CVSS 9.3, Critica) riguarda Google ADK; la patch di AWS per il servizio gestito non richiede azioni, ma le distribuzioni self hosted basate su SDK Strands rimangono esposte.
What should I do next in practice?
Le vulnerabilità permettono di aggirare tutti i guardrail: i tool degli agenti vengono eseguiti senza alcuna autorizzazione da parte del modello AI.
CoreBreak: scoperte falle critiche negli agenti AI di AWS, Google e Vercel
CoreBreak è un pattern di attacco cross platform presentato al Black Hat USA 2026 dai ricercatori Hedi Ingber e Aviyam Ivgi di Stealth. La falla più grave (CVSS 9.3, Critica) riguarda Google ADK; la patch di AWS per il servizio gestito non richiede azioni, ma le distribuzioni self hosted basate su SDK Strands rimang...
Pubblicato daModificato con DeepSeek-V4-FlashImmagini generate con GPT Image 1.5
CoreBreak è un pattern di attacco cross platform presentato al Black Hat USA 2026 dai ricercatori Hedi Ingber e Aviyam Ivgi di Stealth.
La falla più grave (CVSS 9.3, Critica) riguarda Google ADK; la patch di AWS per il servizio gestito non richiede azioni, ma le distribuzioni self hosted basate su SDK Strands rimangono esposte.
Le vulnerabilità permettono di aggirare tutti i guardrail: i tool degli agenti vengono eseguiti senza alcuna autorizzazione da parte del modello AI.
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
Al Black Hat USA 2026 di Las Vegas, i ricercatori di sicurezza Hedi Ingber e Aviyam Ivgi della società Stealth hanno rivelato un modello di attacco cross-platform chiamato CoreBreak. Il cuore del problema: i livelli di esecuzione degli strumenti in Amazon Bedrock AgentCore, Google Agent Development Kit (ADK) e nei pacchetti harness di Vercel AI SDK potevano essere ingannati per eseguire uno strumento dell'agente senza che si fosse mai verificato un turno legittimo del modello — di conseguenza, i prompt di sistema, i filtri contenuto e i guardrail venivano completamente aggirati .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CoreBreak: scoperte falle critiche negli agenti AI di AWS, Google e Vercel"?
CoreBreak è un pattern di attacco cross platform presentato al Black Hat USA 2026 dai ricercatori Hedi Ingber e Aviyam Ivgi di Stealth.
What are the key points to validate first?
CoreBreak è un pattern di attacco cross platform presentato al Black Hat USA 2026 dai ricercatori Hedi Ingber e Aviyam Ivgi di Stealth. La falla più grave (CVSS 9.3, Critica) riguarda Google ADK; la patch di AWS per il servizio gestito non richiede azioni, ma le distribuzioni self hosted basate su SDK Strands rimangono esposte.
What should I do next in practice?
Le vulnerabilità permettono di aggirare tutti i guardrail: i tool degli agenti vengono eseguiti senza alcuna autorizzazione da parte del modello AI.
Tutti e tre i vendor hanno corretto le vulnerabilità nei loro prodotti gestiti o open-source prima della divulgazione del 6 agosto. Ma la storia non finisce qui: AWS ha rifiutato di correggere lo stesso vettore d'attacco nell'SDK Python Strands open-source che è alla base del suo harness AgentCore, lasciando esposti gli utenti self-hosted .
Prodotti, CVE e Punteggi CVSS
Vendor
Componente Affetto
CVE
Punteggio CVSS v4.0
Patchato?
AWS
Amazon Bedrock AgentCore — API InvokeHarness
CVE-2026-18830
8.6 (Alto)
✅ Sì (servizio gestito)
Google
Agent Development Kit (ADK) per Python
CVE-2026-18236
9.3 (Critico)
✅ Sì (ADK 2.5.0)
Vercel
Pacchetti harness AI SDK (Codex e OpenCode)
CVE-2026-64650 / CVE-2026-64651
6.3 (Medio)
✅ Sì (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
La Fallal Open-Source Non Corretta: SDK Python Strands
Lo SDK Python Strands è il framework open-source su cui si basa Amazon Bedrock AgentCore. AWS ha corretto il percorso di codice "model-skipping" nel suo servizio gestito Bedrock AgentCore (CVE-2026-18830) ma ha rifiutato di correggere la stessa vulnerabilità nell'SDK Python Strands open-source.
Cosa è: Un percorso di codice "model-skipping" che consente al pattern d'attacco CoreBreak — invocare strumenti dell'agente senza un turno legittimo del modello — di avere successo in distribuzioni self-hosted non gestite .
CVE assegnato? No. AWS non ha assegnato un CVE né ha pubblicato un bollettino di sicurezza per questo percorso di codice nell'SDK.
La motivazione di AWS: L'azienda considera l'SDK un strumento per sviluppatori e si aspetta che gli utenti downstream implementino i propri controlli di autorizzazione quando lo utilizzano al di fuori del servizio gestito Bedrock .
Rischio: Qualsiasi applicazione costruita direttamente sull'SDK Python Strands (senza passare attraverso l'API gestita di Bedrock AgentCore) rimane vulnerabile al bypass dell'invocazione degli strumenti, a meno che lo sviluppatore non aggiunga in modo indipendente la logica di autorizzazione del turno del modello.
Tempistiche delle Patch e Azioni Richieste
AWS (CVE-2026-18830, CVSS 8.6): Patchato lato server per il servizio gestito Bedrock AgentCore. Gli utenti del servizio gestito non hanno richiesto alcuna azione. Tuttavia, gli utenti dell'SDK Python Strands open-source (alla base di AgentCore) sono rimasti esposti a meno che non avessero implementato i propri controlli di autorizzazione .
Google (CVE-2026-18236, CVSS 9.3): Patchato l'Agent Development Kit open-source per Python nella versione 2.5.0. Gli utenti devono aggiornare il pacchetto Python ADK all'ultima versione .
Vercel (CVE-2026-64650/64651, CVSS 6.3): Patchati i pacchetti harness dell'AI SDK. Gli utenti devono aggiornare le dipendenze di Vercel AI SDK alle versioni corrette: @ai-sdk/harness-codex 1.0.29 e @ai-sdk/harness-opencode 1.0.28 .
Cosa Significa per la Sicurezza degli Agenti AI
CoreBreak non è un singolo bug software, ma un'ipotesi di fiducia a livello di progettazione: tutti e tre i framework agenti implicitamente presumevano che i dati in formato "tool-call" che arrivavano al livello di esecuzione fossero stati autorizzati da un turno precedente del modello. Nessun framework ha verificato in modo indipendente tale autorizzazione . Questo pattern significa che anche se l'addestramento alla sicurezza del modello è perfetto, un attaccante in grado di iniettare dati nella pipeline di invocazione — ad esempio, tramite un servizio upstream compromesso o una richiesta API manipolata — può eseguire strumenti senza mai attivare i guardrail del modello.
Il divario dell'SDK Strands è particolarmente significativo perché dimostra che i vendor cloud possono correggere i loro servizi gestiti lasciando la stessa vulnerabilità aperta nei componenti open-source che gli sviluppatori utilizzano per le distribuzioni self-hosted. Per le organizzazioni che costruiscono infrastrutture di agenti AI personalizzate su Strands, la responsabilità della logica di autorizzazione ricade interamente sul team di sviluppo.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
Tutti e tre i vendor hanno corretto le vulnerabilità nei loro prodotti gestiti o open-source prima della divulgazione del 6 agosto. Ma la storia non finisce qui: AWS ha rifiutato di correggere lo stesso vettore d'attacco nell'SDK Python Strands open-source che è alla base del suo harness AgentCore, lasciando esposti gli utenti self-hosted .
Prodotti, CVE e Punteggi CVSS
Vendor
Componente Affetto
CVE
Punteggio CVSS v4.0
Patchato?
AWS
Amazon Bedrock AgentCore — API InvokeHarness
CVE-2026-18830
8.6 (Alto)
✅ Sì (servizio gestito)
Google
Agent Development Kit (ADK) per Python
CVE-2026-18236
9.3 (Critico)
✅ Sì (ADK 2.5.0)
Vercel
Pacchetti harness AI SDK (Codex e OpenCode)
CVE-2026-64650 / CVE-2026-64651
6.3 (Medio)
✅ Sì (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
La Fallal Open-Source Non Corretta: SDK Python Strands
Lo SDK Python Strands è il framework open-source su cui si basa Amazon Bedrock AgentCore. AWS ha corretto il percorso di codice "model-skipping" nel suo servizio gestito Bedrock AgentCore (CVE-2026-18830) ma ha rifiutato di correggere la stessa vulnerabilità nell'SDK Python Strands open-source.
Cosa è: Un percorso di codice "model-skipping" che consente al pattern d'attacco CoreBreak — invocare strumenti dell'agente senza un turno legittimo del modello — di avere successo in distribuzioni self-hosted non gestite .
CVE assegnato? No. AWS non ha assegnato un CVE né ha pubblicato un bollettino di sicurezza per questo percorso di codice nell'SDK.
La motivazione di AWS: L'azienda considera l'SDK un strumento per sviluppatori e si aspetta che gli utenti downstream implementino i propri controlli di autorizzazione quando lo utilizzano al di fuori del servizio gestito Bedrock .
Rischio: Qualsiasi applicazione costruita direttamente sull'SDK Python Strands (senza passare attraverso l'API gestita di Bedrock AgentCore) rimane vulnerabile al bypass dell'invocazione degli strumenti, a meno che lo sviluppatore non aggiunga in modo indipendente la logica di autorizzazione del turno del modello.
Tempistiche delle Patch e Azioni Richieste
AWS (CVE-2026-18830, CVSS 8.6): Patchato lato server per il servizio gestito Bedrock AgentCore. Gli utenti del servizio gestito non hanno richiesto alcuna azione. Tuttavia, gli utenti dell'SDK Python Strands open-source (alla base di AgentCore) sono rimasti esposti a meno che non avessero implementato i propri controlli di autorizzazione .
Google (CVE-2026-18236, CVSS 9.3): Patchato l'Agent Development Kit open-source per Python nella versione 2.5.0. Gli utenti devono aggiornare il pacchetto Python ADK all'ultima versione .
Vercel (CVE-2026-64650/64651, CVSS 6.3): Patchati i pacchetti harness dell'AI SDK. Gli utenti devono aggiornare le dipendenze di Vercel AI SDK alle versioni corrette: @ai-sdk/harness-codex 1.0.29 e @ai-sdk/harness-opencode 1.0.28 .
Cosa Significa per la Sicurezza degli Agenti AI
CoreBreak non è un singolo bug software, ma un'ipotesi di fiducia a livello di progettazione: tutti e tre i framework agenti implicitamente presumevano che i dati in formato "tool-call" che arrivavano al livello di esecuzione fossero stati autorizzati da un turno precedente del modello. Nessun framework ha verificato in modo indipendente tale autorizzazione . Questo pattern significa che anche se l'addestramento alla sicurezza del modello è perfetto, un attaccante in grado di iniettare dati nella pipeline di invocazione — ad esempio, tramite un servizio upstream compromesso o una richiesta API manipolata — può eseguire strumenti senza mai attivare i guardrail del modello.
Il divario dell'SDK Strands è particolarmente significativo perché dimostra che i vendor cloud possono correggere i loro servizi gestiti lasciando la stessa vulnerabilità aperta nei componenti open-source che gli sviluppatori utilizzano per le distribuzioni self-hosted. Per le organizzazioni che costruiscono infrastrutture di agenti AI personalizzate su Strands, la responsabilità della logica di autorizzazione ricade interamente sul team di sviluppo.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
