CoreBreak: Zo omzeilen aanvallers alle AI-agentbeveiliging bij AWS, Google en Vercel

Alle drie de leveranciers hebben de kwetsbaarheden in hun beheerde of open-source producten gepatcht vóór de openbaarmaking op 6 augustus . Maar het verhaal eindigt daar niet: AWS weigerde dezelfde aanvalsmethode in de open-source Strands Python SDK te patchen, die ten grondslag ligt aan de eigen AgentCore-harnas, waardoor zelf-gehoste gebruikers blootgesteld blijven .

Getroffen producten, CVE's en CVSS-scores

Het onherstelde open-source lek: Strands Python SDK

De Strands Python SDK is het open-source framework dat ten grondslag ligt aan Amazon Bedrock AgentCore. AWS patchte de model-overgeslagen code in zijn beheerde Bedrock AgentCore-service (CVE-2026-18830), maar weigerde dezelfde kwetsbaarheid in de open-source Strands Python SDK te patchen .

• Wat het is: Een ‘model-overslaand’ code-pad waarmee hetzelfde CoreBreak-aanvalspatroon – het aanroepen van tools zonder legitieme modelbeurt – kan slagen in zelf-gehoste, niet-beheerde implementaties .
• CVE toegewezen? Nee. AWS heeft geen CVE toegewezen of een security bulletin voor dit SDK-code-pad uitgegeven.
• AWS's redenering: Het bedrijf beschouwt de SDK als een ontwikkeltool en verwacht dat downstream-gebruikers hun eigen autorisatiecontroles implementeren wanneer ze deze buiten de beheerde Bedrock-service gebruiken .
• Risico: Elke toepassing die direct is gebouwd op de Strands Python SDK (zonder via de beheerde Bedrock AgentCore API te gaan) blijft kwetsbaar voor tool-aanroepomzeiling, tenzij de ontwikkelaar zelf modelbeurt-autorisatielogica toevoegt.

Patch-tijdlijnen en vereiste gebruikersacties

• AWS (CVE-2026-18830, CVSS 8.6): Patche de beheerde Bedrock AgentCore-service server-side. Gebruikers van de beheerde service hoefden geen actie te ondernemen. Gebruikers van de open-source Strands Python SDK (die ten grondslag ligt aan AgentCore) bleven echter blootgesteld tenzij ze hun eigen autorisatiecontroles implementeerden .
• Google (CVE-2026-18236, CVSS 9.3): Patche de open-source Agent Development Kit voor Python in versie 2.5.0. Gebruikers moeten hun ADK Python-pakket updaten naar de nieuwste versie .
• Vercel (CVE-2026-64650/64651, CVSS 6.3): Patche de AI SDK harnas-pakketten. Gebruikers moeten hun Vercel AI SDK-afhankelijkheden updaten naar de gepatchete versies: @ai-sdk/harness-codex 1.0.29 en @ai-sdk/harness-opencode 1.0.28 .

Wat dit betekent voor de beveiliging van AI-agents

CoreBreak is geen enkele softwarebug, maar een ontwerp-vertrouwensassumptie: alle drie de agentframeworks vertrouwden er impliciet op dat gegevens in de vorm van een tool-aanroep die bij de uitvoeringslaag aankwamen, waren geautoriseerd door een eerdere modelbeurt. Geen enkel framework heeft die autorisatie onafhankelijk geverifieerd . Dit patroon betekent dat zelfs als de veiligheidstraining van een model perfect is, een aanvaller die gegevens in de aanroeppijplijn kan injecteren – bijvoorbeeld via een gecompromitteerde upstream-service of een vervalst API-verzoek – tools kan uitvoeren zonder ooit de guardrails van het model te activeren.

Het Strands SDK-gat is met name opmerkelijk omdat het aantoont dat cloudleveranciers hun beheerde services kunnen patchen terwijl ze dezelfde kwetsbaarheid open laten in de open-source componenten die ontwikkelaars gebruiken voor zelf-gehoste implementaties. Voor organisaties die aangepaste AI-agentinfrastructuur bouwen op basis van Strands, ligt de verantwoordelijkheid voor autorisatielogica volledig bij het ontwikkelingsteam.