CoreBreak： AIエージェントのガードレールを突破する新種の攻撃——AWS、Google、Vercelにパッチ適用も、オープンソースSDKにはリスク残る

2026年8月、ラスベガスで開催されたBlack Hat USA 2026において、セキュリティ研究企業StealthのHedi Ingber氏とAviyam Ivgi氏は、CoreBreakと名付けたクロスプラットフォーム攻撃パターンを発表しました 。

その核心は、Amazon Bedrock AgentCore、GoogleのAgent Development Kit（ADK）、VercelのAI SDKハーネスにおけるツール実行レイヤーが、正当なモデルターンを経ることなくエージェントツールを実行できてしまうという設計上の欠陥です。つまり、システムプロンプト、コンテンツフィルター、拒否トレーニングといったガードレールを完全にバイパスできることを意味します 。

3社はいずれもBlack Hat USAでの公表（2026年8月6日）前に、それぞれの管理対象製品またはオープンソース製品にパッチを適用しました 。しかし、ここで話は終わりません。AWSは、AgentCoreハーネスの基盤となるオープンソースのStrands Python SDKにおいて、同一の攻撃経路に対してパッチを適用しないと決定し、セルフホスト環境のユーザーは依然としてリスクにさらされています 。

影響を受ける製品、CVE、CVSSスコア

ベンダー	影響を受けるコンポーネント	CVE	CVSS v4.0 スコア	パッチ状況
AWS	Amazon Bedrock AgentCore — InvokeHarness API	CVE-2026-18830	8.6（High）	✅ パッチ済み（マネージドサービス）
Google	Agent Development Kit (ADK) for Python	CVE-2026-18236	9.3（Critical）	✅ パッチ済み（ADK 2.5.0）
Vercel	AI SDK ハーネスパッケージ（Codex & OpenCode）	CVE-2026-64650 / CVE-2026-64651	6.3（Medium）	✅ パッチ済み（@ai-sdk/harness-codex 1.0.29、@ai-sdk/harness-opencode 1.0.28）

パッチ未適用のオープンソースの欠陥：Strands Python SDK

Strands Python SDKは、Amazon Bedrock AgentCoreの基盤となるオープンソースフレームワークです。AWSはマネージドなBedrock AgentCoreサービス（CVE-2026-18830）の「モデルスキップ」コードパスにはパッチを適用しましたが、オープンソースのStrands Python SDKにおける同一の脆弱性に対してはパッチを適用しないと決定しました 。

• 脆弱性の内容： セルフホスト型の非マネージド環境において、CoreBreakと同じ攻撃パターン（正当なモデルターンなしでのエージェントツール呼び出し）を可能にする「モデルスキップ」コードパスです 。
• CVEは割り当てられたか？ いいえ。AWSはこのSDKコードパスに対してCVEを割り当てず、セキュリティ速報も発行していません。
• AWSの見解： 同社は本SDKを開発者ツールと位置付けており、マネージドなBedrockサービス外で使用する場合、ダウンストリームのユーザー自身が認可チェックを実装することを期待しています 。
• リスク： Strands Python SDKを直接使用して構築されたアプリケーション（マネージドBedrock AgentCore APIを経由しないもの）は、開発者が独自にモデルターン認可ロジックを追加しない限り、ツール呼び出しのバイパスに対して脆弱なままです。

パッチ適用のタイムラインとユーザーに求められる対応

• AWS（CVE-2026-18830、CVSS 8.6）： マネージドBedrock AgentCoreサービスをサーバーサイドで修正。マネージドサービスの利用者は特に対応不要。ただし、オープンソースのStrands Python SDK（AgentCoreの基盤）のユーザーは、独自の認可チェックを実装しない限りリスクが残ります 。
• Google（CVE-2026-18236、CVSS 9.3）： オープンソースのAgent Development Kit for Pythonをバージョン2.5.0で修正。ユーザーはADK Pythonパッケージを最新バージョンにアップデートする必要があります 。
• Vercel（CVE-2026-64650/64651、CVSS 6.3）： AI SDKハーネスパッケージを修正。ユーザーはVercel AI SDKの依存関係をパッチ適用済みバージョン（@ai-sdk/harness-codex 1.0.29、@ai-sdk/harness-opencode 1.0.28）にアップデートする必要があります 。

AIエージェントセキュリティにとっての意味

CoreBreakは単一のソフトウェアバグではなく、設計レベルの信頼の仮定の問題です。3つのエージェントフレームワークはすべて、実行レイヤーに到着するツール呼び出し形式のデータが、事前のモデルターンによって認可されていることを暗黙のうちに信頼していました。どのフレームワークもその認可を独立して検証していませんでした 。このパターンは、たとえモデルのセーフティトレーニングが完璧でも、攻撃者が呼び出しパイプラインにデータを注入できれば（例えば、侵害された上流サービスや細工されたAPIリクエストを介して）、モデルのガードレールをトリガーすることなくツールを実行できることを意味します。

Strands SDKのギャップは、クラウドベンダーがマネージドサービスにはパッチを適用しても、開発者がセルフホスト環境で使用するオープンソースコンポーネントに同じ脆弱性を残す可能性があることを示す、特に注目すべき事例です。Strands上にカスタムAIエージェントインフラを構築する組織にとって、認可ロジックの責任は完全に開発チームに委ねられます。