CoreBreak: scoperte falle critiche negli agenti AI di AWS, Google e Vercel

Tutti e tre i vendor hanno corretto le vulnerabilità nei loro prodotti gestiti o open-source prima della divulgazione del 6 agosto . Ma la storia non finisce qui: AWS ha rifiutato di correggere lo stesso vettore d'attacco nell'SDK Python Strands open-source che è alla base del suo harness AgentCore, lasciando esposti gli utenti self-hosted .

Prodotti, CVE e Punteggi CVSS

La Fallal Open-Source Non Corretta: SDK Python Strands

Lo SDK Python Strands è il framework open-source su cui si basa Amazon Bedrock AgentCore. AWS ha corretto il percorso di codice "model-skipping" nel suo servizio gestito Bedrock AgentCore (CVE-2026-18830) ma ha rifiutato di correggere la stessa vulnerabilità nell'SDK Python Strands open-source .

• Cosa è: Un percorso di codice "model-skipping" che consente al pattern d'attacco CoreBreak — invocare strumenti dell'agente senza un turno legittimo del modello — di avere successo in distribuzioni self-hosted non gestite .
• CVE assegnato? No. AWS non ha assegnato un CVE né ha pubblicato un bollettino di sicurezza per questo percorso di codice nell'SDK.
• La motivazione di AWS: L'azienda considera l'SDK un strumento per sviluppatori e si aspetta che gli utenti downstream implementino i propri controlli di autorizzazione quando lo utilizzano al di fuori del servizio gestito Bedrock .
• Rischio: Qualsiasi applicazione costruita direttamente sull'SDK Python Strands (senza passare attraverso l'API gestita di Bedrock AgentCore) rimane vulnerabile al bypass dell'invocazione degli strumenti, a meno che lo sviluppatore non aggiunga in modo indipendente la logica di autorizzazione del turno del modello.

Tempistiche delle Patch e Azioni Richieste

• AWS (CVE-2026-18830, CVSS 8.6): Patchato lato server per il servizio gestito Bedrock AgentCore. Gli utenti del servizio gestito non hanno richiesto alcuna azione. Tuttavia, gli utenti dell'SDK Python Strands open-source (alla base di AgentCore) sono rimasti esposti a meno che non avessero implementato i propri controlli di autorizzazione .
• Google (CVE-2026-18236, CVSS 9.3): Patchato l'Agent Development Kit open-source per Python nella versione 2.5.0. Gli utenti devono aggiornare il pacchetto Python ADK all'ultima versione .
• Vercel (CVE-2026-64650/64651, CVSS 6.3): Patchati i pacchetti harness dell'AI SDK. Gli utenti devono aggiornare le dipendenze di Vercel AI SDK alle versioni corrette: @ai-sdk/harness-codex 1.0.29 e @ai-sdk/harness-opencode 1.0.28 .

Cosa Significa per la Sicurezza degli Agenti AI

CoreBreak non è un singolo bug software, ma un'ipotesi di fiducia a livello di progettazione: tutti e tre i framework agenti implicitamente presumevano che i dati in formato "tool-call" che arrivavano al livello di esecuzione fossero stati autorizzati da un turno precedente del modello. Nessun framework ha verificato in modo indipendente tale autorizzazione . Questo pattern significa che anche se l'addestramento alla sicurezza del modello è perfetto, un attaccante in grado di iniettare dati nella pipeline di invocazione — ad esempio, tramite un servizio upstream compromesso o una richiesta API manipolata — può eseguire strumenti senza mai attivare i guardrail del modello.

Il divario dell'SDK Strands è particolarmente significativo perché dimostra che i vendor cloud possono correggere i loro servizi gestiti lasciando la stessa vulnerabilità aperta nei componenti open-source che gli sviluppatori utilizzano per le distribuzioni self-hosted. Per le organizzazioni che costruiscono infrastrutture di agenti AI personalizzate su Strands, la responsabilità della logica di autorizzazione ricade interamente sul team di sviluppo.