CoreBreak: AWS·구글·Vercel AI 에이전트 보안, 모델 우회 공격에 속수무책

라스베이거스에서 열린 블랙햇 USA 2026에서 보안 연구원 Hedi Ingber와 Aviyam Ivgi(보안 기업 Stealth)가 CoreBreak라는 이름의 크로스 플랫폼 공격 패턴을 공개했습니다 . 핵심은 Amazon Bedrock AgentCore, Google의 Agent Development Kit(ADK), Vercel의 AI SDK 하네스의 도구 실행 계층이 합법적인 모델 턴 없이 에이전트 도구를 실행하도록 속일 수 있다는 점입니다. 즉, 시스템 프롬프트, 콘텐츠 필터, 거부 훈련(refusal training)이 완전히 우회되었습니다 .

세 벤더 모두 8월 6일 공개 이전에 자사의 관리형 또는 오픈소스 제품의 취약점을 패치했습니다 . 하지만 이야기는 여기서 끝나지 않습니다. AWS는 AgentCore 하네스의 기반이 되는 오픈소스 Strands Python SDK의 동일한 공격 경로를 패치하지 않아, 자체 호스팅 사용자는 여전히 위험에 노출되어 있습니다 .

영향을 받는 제품, CVE 및 CVSS 점수

벤더	영향을 받는 구성 요소	CVE	CVSS v4.0 점수	패치 여부
AWS	Amazon Bedrock AgentCore — InvokeHarness API	CVE-2026-18830	8.6 (높음)	✅ 예 (관리형 서비스)
Google	Agent Development Kit (ADK) for Python	CVE-2026-18236	9.3 (치명적)	✅ 예 (ADK 2.5.0)
Vercel	AI SDK 하네스 패키지 (Codex & OpenCode)	CVE-2026-64650 / CVE-2026-64651	6.3 (중간)	✅ 예 (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)

패치되지 않은 오픈소스 결함: Strands Python SDK

Strands Python SDK는 Amazon Bedrock AgentCore의 기반이 되는 오픈소스 프레임워크입니다. AWS는 관리형 Bedrock AgentCore 서비스(CVE-2026-18830)의 모델 건너뛰기 코드 경로는 패치했지만, 오픈소스 Strands Python SDK의 동일한 취약점은 패치하지 않기로 결정했습니다 .

• 내용: 자체 호스팅, 비관리형 배포에서 동일한 CoreBreak 공격 패턴(합법적인 모델 턴 없이 에이전트 도구 호출)을 가능하게 하는 '모델 건너뛰기' 코드 경로입니다 .
• CVE 할당? 아니요. AWS는 이 SDK 코드 경로에 대해 CVE를 할당하거나 보안 게시판을 발행하지 않았습니다.
• AWS의 입장: 회사는 SDK를 개발자 도구로 간주하며, 관리형 Bedrock 서비스 외부에서 사용할 때는 최종 사용자가 자체 인증 검사를 구현해야 한다고 설명합니다 .
• 위험: Strands Python SDK를 기반으로 직접 구축된 모든 애플리케이션(관리형 Bedrock AgentCore API를 거치지 않는 경우)은 개발자가 모델 턴 인증 로직을 독립적으로 추가하지 않는 한 도구 호출 우회에 취약한 상태로 남아 있습니다.

패치 일정 및 필요한 사용자 조치

• AWS (CVE-2026-18830, CVSS 8.6): 관리형 Bedrock AgentCore 서비스를 서버 측에서 패치했습니다. 관리형 서비스 사용자는 별도 조치가 필요하지 않습니다. 그러나 AgentCore의 기반이 되는 오픈소스 Strands Python SDK 사용자는 자체 인증 검사를 구현하지 않으면 계속 노출됩니다 .
• Google (CVE-2026-18236, CVSS 9.3): Python용 오픈소스 Agent Development Kit을 버전 2.5.0에서 패치했습니다. 사용자는 ADK Python 패키지를 최신 버전으로 업데이트해야 합니다 .
• Vercel (CVE-2026-64650/64651, CVSS 6.3): AI SDK 하네스 패키지를 패치했습니다. 사용자는 Vercel AI SDK 종속성을 패치된 버전(@ai-sdk/harness-codex 1.0.29 및 @ai-sdk/harness-opencode 1.0.28)으로 업데이트해야 합니다 .

AI 에이전트 보안에 미치는 의미

CoreBreak는 단일 소프트웨어 버그가 아니라 설계 수준의 신뢰 가정입니다. 세 에이전트 프레임워크 모두 실행 계층에 도착하는 도구 호출 형태의 데이터가 이전 모델 턴에 의해 승인되었음을 암묵적으로 신뢰했습니다. 어떤 프레임워크도 해당 승인을 독립적으로 확인하지 않았습니다 . 이 패턴은 모델의 안전 훈련이 완벽하더라도, 공격자가 호출 파이프라인에 데이터를 주입할 수 있는 경우(예: 손상된 업스트림 서비스 또는 조작된 API 요청을 통해) 모델의 가드레일을 전혀 트리거하지 않고 도구를 실행할 수 있음을 의미합니다.

Strands SDK의 격차는 클라우드 벤더가 관리형 서비스는 패치하면서, 개발자가 자체 호스팅 배포에 사용하는 오픈소스 구성 요소에는 동일한 취약점을 그대로 남겨둘 수 있음을 보여주기 때문에 특히 주목할 만합니다. Strands 기반으로 맞춤형 AI 에이전트 인프라를 구축하는 조직의 경우, 인증 로직에 대한 책임은 전적으로 개발팀에 있습니다.