CoreBreak: Kelemahan Ejen AI yang Membolehkan Penggodam Memintas Semua Benteng Pertahanan di AWS, Google, dan Vercel

Ketiga-tiga vendor telah menampal kelemahan dalam produk terurus atau sumber terbuka mereka sebelum pendedahan pada 6 Ogos . Tetapi kisahnya tidak berakhir di sini: AWS enggan menampal laluan serangan yang sama dalam SDK Strands Python sumber terbuka yang menjadi asas kepada harness AgentCore, meninggalkan pengguna yang menjadi tuan rumah sendiri dalam keadaan terdedah .

Produk Terjejas, CVE, dan Skor CVSS

Kelemahan Sumber Terbuka yang Tidak Ditampal: SDK Strands Python

SDK Strands Python ialah rangka kerja sumber terbuka yang mendasari Amazon Bedrock AgentCore. AWS menampal laluan kod 'model-skipping' dalam perkhidmatan terurus Bedrock AgentCore (CVE-2026-18830) tetapi enggan menampal kelemahan yang sama dalam SDK Strands Python sumber terbuka .

• Apa itu: Laluan kod 'model-skipping' yang membenarkan corak serangan CoreBreak yang sama — memanggil alat ejen tanpa pusingan model yang sah — berjaya dalam persekitaran yang dihoskan sendiri dan tidak terurus .
• CVE diberikan? Tidak. AWS tidak memberikan CVE atau mengeluarkan buletin keselamatan untuk laluan kod SDK ini.
• Rasional AWS: Syarikat menganggap SDK sebagai alat pembangun dan menjangkakan pengguna hiliran melaksanakan pemeriksaan kebenaran mereka sendiri apabila menggunakannya di luar perkhidmatan Bedrock terurus .
• Risiko: Mana-mana aplikasi yang dibina terus pada SDK Strands Python (tanpa melalui API Bedrock AgentCore terurus) kekal terdedah kepada pintasan pemanggilan alat melainkan pembangun secara bebas menambah logik kebenaran pusingan model.

Garis Masa Tampalan dan Tindakan Pengguna yang Diperlukan

• AWS (CVE-2026-18830, CVSS 8.6): Menampal perkhidmatan terurus Bedrock AgentCore di sebelah pelayan. Pengguna perkhidmatan terurus tidak memerlukan sebarang tindakan. Walau bagaimanapun, pengguna SDK Strands Python sumber terbuka (yang mendasari AgentCore) kekal terdedah melainkan mereka melaksanakan pemeriksaan kebenaran mereka sendiri .
• Google (CVE-2026-18236, CVSS 9.3): Menampal Agent Development Kit sumber terbuka untuk Python dalam versi 2.5.0. Pengguna mesti mengemas kini pakej ADK Python mereka ke versi terkini .
• Vercel (CVE-2026-64650/64651, CVSS 6.3): Menampal pakej harness AI SDK. Pengguna mesti mengemas kini kebergantungan Vercel AI SDK mereka ke versi yang ditampal: @ai-sdk/harness-codex 1.0.29 dan @ai-sdk/harness-opencode 1.0.28 .

Maksud Ini untuk Keselamatan Ejen AI

CoreBreak bukanlah pepijat perisian tunggal tetapi andaian kepercayaan pada peringkat reka bentuk: ketiga-tiga rangka kerja ejen secara tersirat mempercayai bahawa data berbentuk panggilan alat yang tiba di lapisan pelaksanaan telah diberi kuasa oleh pusingan model sebelumnya. Tiada rangka kerja mengesahkan kebenaran itu secara bebas . Corak ini bermakna walaupun latihan keselamatan model itu sempurna, penyerang yang boleh menyuntik data ke dalam saluran pemanggilan — contohnya, melalui perkhidmatan hulu yang terjejas atau permintaan API yang direka — boleh melaksanakan alat tanpa pernah mencetuskan benteng pertahanan model.

Jurang SDK Strands amat ketara kerana ia menunjukkan bahawa vendor awan boleh menampal perkhidmatan terurus mereka sambil meninggalkan kelemahan yang sama terbuka dalam komponen sumber terbuka yang digunakan oleh pembangun untuk persekitaran yang dihoskan sendiri. Bagi organisasi yang membina infrastruktur ejen AI tersuai di atas Strands, tanggungjawab untuk logik kebenaran terletak sepenuhnya pada pasukan pembangunan.