CoreBreak: Zo omzeilen aanvallers alle AI-agentbeveiliging bij AWS, Google en Vercel
CoreBreak is een cross platform aanvalspatroon dat op Black Hat USA 2026 is gepresenteerd door onderzoekers Hedi Ingber en Aviyam Ivgi van Stealth. Door een ontwerpfout in de tool uitvoeringslagen van Amazon Bedrock AgentCore, Google's Agent Development Kit (ADK) en Vercel's AI SDK konden aanvallers tools aanroepen...
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
CoreBreak is een cross platform aanvalspatroon dat op Black Hat USA 2026 is gepresenteerd door onderzoekers Hedi Ingber en Aviyam Ivgi van Stealth.
Door een ontwerpfout in de tool uitvoeringslagen van Amazon Bedrock AgentCore, Google's Agent Development Kit (ADK) en Vercel's AI SDK konden aanvallers tools aanroepen zonder een legitieme modelbeurt – systeemprompts...
Google's lek (CVE 2026 18236) kreeg met een CVSS 9,3 de hoogste urgentie. AWS patchte zijn beheerde service, maar het onderliggende open source Strands Python SDK bleef kwetsbaar.
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
Op Black Hat USA 2026 in Las Vegas onthulden beveiligingsonderzoekers Hedi Ingber en Aviyam Ivgi van het bedrijf Stealth een cross-platform aanvalspatroon dat ze CoreBreak noemden . De kern van het probleem: de tool-uitvoeringslagen in Amazon Bedrock AgentCore, Google's Agent Development Kit (ADK) en Vercel's AI SDK konden worden misleid om een tool uit te voeren zonder dat er ooit een legitieme modelbeurt plaatsvond – systeemprompts, contentfilters en weigeringstraining werden volledig omzeild .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CoreBreak: Zo omzeilen aanvallers alle AI-agentbeveiliging bij AWS, Google en Vercel"?
CoreBreak is een cross platform aanvalspatroon dat op Black Hat USA 2026 is gepresenteerd door onderzoekers Hedi Ingber en Aviyam Ivgi van Stealth.
What are the key points to validate first?
CoreBreak is een cross platform aanvalspatroon dat op Black Hat USA 2026 is gepresenteerd door onderzoekers Hedi Ingber en Aviyam Ivgi van Stealth. Door een ontwerpfout in de tool uitvoeringslagen van Amazon Bedrock AgentCore, Google's Agent Development Kit (ADK) en Vercel's AI SDK konden aanvallers tools aanroepen zonder een legitieme modelbeurt – systeemprompts...
What should I do next in practice?
Google's lek (CVE 2026 18236) kreeg met een CVSS 9,3 de hoogste urgentie. AWS patchte zijn beheerde service, maar het onderliggende open source Strands Python SDK bleef kwetsbaar.
CoreBreak: Zo omzeilen aanvallers alle AI-agentbeveiliging bij AWS, Google en Vercel
CoreBreak is een cross platform aanvalspatroon dat op Black Hat USA 2026 is gepresenteerd door onderzoekers Hedi Ingber en Aviyam Ivgi van Stealth. Door een ontwerpfout in de tool uitvoeringslagen van Amazon Bedrock AgentCore, Google's Agent Development Kit (ADK) en Vercel's AI SDK konden aanvallers tools aanroepen...
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
CoreBreak is een cross platform aanvalspatroon dat op Black Hat USA 2026 is gepresenteerd door onderzoekers Hedi Ingber en Aviyam Ivgi van Stealth.
Door een ontwerpfout in de tool uitvoeringslagen van Amazon Bedrock AgentCore, Google's Agent Development Kit (ADK) en Vercel's AI SDK konden aanvallers tools aanroepen zonder een legitieme modelbeurt – systeemprompts...
Google's lek (CVE 2026 18236) kreeg met een CVSS 9,3 de hoogste urgentie. AWS patchte zijn beheerde service, maar het onderliggende open source Strands Python SDK bleef kwetsbaar.
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
Op Black Hat USA 2026 in Las Vegas onthulden beveiligingsonderzoekers Hedi Ingber en Aviyam Ivgi van het bedrijf Stealth een cross-platform aanvalspatroon dat ze CoreBreak noemden . De kern van het probleem: de tool-uitvoeringslagen in Amazon Bedrock AgentCore, Google's Agent Development Kit (ADK) en Vercel's AI SDK konden worden misleid om een tool uit te voeren zonder dat er ooit een legitieme modelbeurt plaatsvond – systeemprompts, contentfilters en weigeringstraining werden volledig omzeild .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CoreBreak: Zo omzeilen aanvallers alle AI-agentbeveiliging bij AWS, Google en Vercel"?
CoreBreak is een cross platform aanvalspatroon dat op Black Hat USA 2026 is gepresenteerd door onderzoekers Hedi Ingber en Aviyam Ivgi van Stealth.
What are the key points to validate first?
CoreBreak is een cross platform aanvalspatroon dat op Black Hat USA 2026 is gepresenteerd door onderzoekers Hedi Ingber en Aviyam Ivgi van Stealth. Door een ontwerpfout in de tool uitvoeringslagen van Amazon Bedrock AgentCore, Google's Agent Development Kit (ADK) en Vercel's AI SDK konden aanvallers tools aanroepen zonder een legitieme modelbeurt – systeemprompts...
What should I do next in practice?
Google's lek (CVE 2026 18236) kreeg met een CVSS 9,3 de hoogste urgentie. AWS patchte zijn beheerde service, maar het onderliggende open source Strands Python SDK bleef kwetsbaar.
Alle drie de leveranciers hebben de kwetsbaarheden in hun beheerde of open-source producten gepatcht vóór de openbaarmaking op 6 augustus. Maar het verhaal eindigt daar niet: AWS weigerde dezelfde aanvalsmethode in de open-source Strands Python SDK te patchen, die ten grondslag ligt aan de eigen AgentCore-harnas, waardoor zelf-gehoste gebruikers blootgesteld blijven .
Getroffen producten, CVE's en CVSS-scores
Leverancier
Getroffen component
CVE('s)
CVSS v4.0-score
Gepatched?
AWS
Amazon Bedrock AgentCore – InvokeHarness API
CVE-2026-18830
8.6 (Hoog)
✅ Ja (beheerde service)
Google
Agent Development Kit (ADK) voor Python
CVE-2026-18236
9.3 (Kritiek)
✅ Ja (ADK 2.5.0)
Vercel
AI SDK harnas-pakketten (Codex & OpenCode)
CVE-2026-64650 / CVE-2026-64651
6.3 (Gemiddeld)
✅ Ja (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
Het onherstelde open-source lek: Strands Python SDK
De Strands Python SDK is het open-source framework dat ten grondslag ligt aan Amazon Bedrock AgentCore. AWS patchte de model-overgeslagen code in zijn beheerde Bedrock AgentCore-service (CVE-2026-18830), maar weigerde dezelfde kwetsbaarheid in de open-source Strands Python SDK te patchen.
Wat het is: Een ‘model-overslaand’ code-pad waarmee hetzelfde CoreBreak-aanvalspatroon – het aanroepen van tools zonder legitieme modelbeurt – kan slagen in zelf-gehoste, niet-beheerde implementaties .
CVE toegewezen? Nee. AWS heeft geen CVE toegewezen of een security bulletin voor dit SDK-code-pad uitgegeven.
AWS's redenering: Het bedrijf beschouwt de SDK als een ontwikkeltool en verwacht dat downstream-gebruikers hun eigen autorisatiecontroles implementeren wanneer ze deze buiten de beheerde Bedrock-service gebruiken .
Risico: Elke toepassing die direct is gebouwd op de Strands Python SDK (zonder via de beheerde Bedrock AgentCore API te gaan) blijft kwetsbaar voor tool-aanroepomzeiling, tenzij de ontwikkelaar zelf modelbeurt-autorisatielogica toevoegt.
Patch-tijdlijnen en vereiste gebruikersacties
AWS (CVE-2026-18830, CVSS 8.6): Patche de beheerde Bedrock AgentCore-service server-side. Gebruikers van de beheerde service hoefden geen actie te ondernemen. Gebruikers van de open-source Strands Python SDK (die ten grondslag ligt aan AgentCore) bleven echter blootgesteld tenzij ze hun eigen autorisatiecontroles implementeerden .
Google (CVE-2026-18236, CVSS 9.3): Patche de open-source Agent Development Kit voor Python in versie 2.5.0. Gebruikers moeten hun ADK Python-pakket updaten naar de nieuwste versie .
Vercel (CVE-2026-64650/64651, CVSS 6.3): Patche de AI SDK harnas-pakketten. Gebruikers moeten hun Vercel AI SDK-afhankelijkheden updaten naar de gepatchete versies: @ai-sdk/harness-codex 1.0.29 en @ai-sdk/harness-opencode 1.0.28 .
Wat dit betekent voor de beveiliging van AI-agents
CoreBreak is geen enkele softwarebug, maar een ontwerp-vertrouwensassumptie: alle drie de agentframeworks vertrouwden er impliciet op dat gegevens in de vorm van een tool-aanroep die bij de uitvoeringslaag aankwamen, waren geautoriseerd door een eerdere modelbeurt. Geen enkel framework heeft die autorisatie onafhankelijk geverifieerd . Dit patroon betekent dat zelfs als de veiligheidstraining van een model perfect is, een aanvaller die gegevens in de aanroeppijplijn kan injecteren – bijvoorbeeld via een gecompromitteerde upstream-service of een vervalst API-verzoek – tools kan uitvoeren zonder ooit de guardrails van het model te activeren.
Het Strands SDK-gat is met name opmerkelijk omdat het aantoont dat cloudleveranciers hun beheerde services kunnen patchen terwijl ze dezelfde kwetsbaarheid open laten in de open-source componenten die ontwikkelaars gebruiken voor zelf-gehoste implementaties. Voor organisaties die aangepaste AI-agentinfrastructuur bouwen op basis van Strands, ligt de verantwoordelijkheid voor autorisatielogica volledig bij het ontwikkelingsteam.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
Alle drie de leveranciers hebben de kwetsbaarheden in hun beheerde of open-source producten gepatcht vóór de openbaarmaking op 6 augustus. Maar het verhaal eindigt daar niet: AWS weigerde dezelfde aanvalsmethode in de open-source Strands Python SDK te patchen, die ten grondslag ligt aan de eigen AgentCore-harnas, waardoor zelf-gehoste gebruikers blootgesteld blijven .
Getroffen producten, CVE's en CVSS-scores
Leverancier
Getroffen component
CVE('s)
CVSS v4.0-score
Gepatched?
AWS
Amazon Bedrock AgentCore – InvokeHarness API
CVE-2026-18830
8.6 (Hoog)
✅ Ja (beheerde service)
Google
Agent Development Kit (ADK) voor Python
CVE-2026-18236
9.3 (Kritiek)
✅ Ja (ADK 2.5.0)
Vercel
AI SDK harnas-pakketten (Codex & OpenCode)
CVE-2026-64650 / CVE-2026-64651
6.3 (Gemiddeld)
✅ Ja (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
Het onherstelde open-source lek: Strands Python SDK
De Strands Python SDK is het open-source framework dat ten grondslag ligt aan Amazon Bedrock AgentCore. AWS patchte de model-overgeslagen code in zijn beheerde Bedrock AgentCore-service (CVE-2026-18830), maar weigerde dezelfde kwetsbaarheid in de open-source Strands Python SDK te patchen.
Wat het is: Een ‘model-overslaand’ code-pad waarmee hetzelfde CoreBreak-aanvalspatroon – het aanroepen van tools zonder legitieme modelbeurt – kan slagen in zelf-gehoste, niet-beheerde implementaties .
CVE toegewezen? Nee. AWS heeft geen CVE toegewezen of een security bulletin voor dit SDK-code-pad uitgegeven.
AWS's redenering: Het bedrijf beschouwt de SDK als een ontwikkeltool en verwacht dat downstream-gebruikers hun eigen autorisatiecontroles implementeren wanneer ze deze buiten de beheerde Bedrock-service gebruiken .
Risico: Elke toepassing die direct is gebouwd op de Strands Python SDK (zonder via de beheerde Bedrock AgentCore API te gaan) blijft kwetsbaar voor tool-aanroepomzeiling, tenzij de ontwikkelaar zelf modelbeurt-autorisatielogica toevoegt.
Patch-tijdlijnen en vereiste gebruikersacties
AWS (CVE-2026-18830, CVSS 8.6): Patche de beheerde Bedrock AgentCore-service server-side. Gebruikers van de beheerde service hoefden geen actie te ondernemen. Gebruikers van de open-source Strands Python SDK (die ten grondslag ligt aan AgentCore) bleven echter blootgesteld tenzij ze hun eigen autorisatiecontroles implementeerden .
Google (CVE-2026-18236, CVSS 9.3): Patche de open-source Agent Development Kit voor Python in versie 2.5.0. Gebruikers moeten hun ADK Python-pakket updaten naar de nieuwste versie .
Vercel (CVE-2026-64650/64651, CVSS 6.3): Patche de AI SDK harnas-pakketten. Gebruikers moeten hun Vercel AI SDK-afhankelijkheden updaten naar de gepatchete versies: @ai-sdk/harness-codex 1.0.29 en @ai-sdk/harness-opencode 1.0.28 .
Wat dit betekent voor de beveiliging van AI-agents
CoreBreak is geen enkele softwarebug, maar een ontwerp-vertrouwensassumptie: alle drie de agentframeworks vertrouwden er impliciet op dat gegevens in de vorm van een tool-aanroep die bij de uitvoeringslaag aankwamen, waren geautoriseerd door een eerdere modelbeurt. Geen enkel framework heeft die autorisatie onafhankelijk geverifieerd . Dit patroon betekent dat zelfs als de veiligheidstraining van een model perfect is, een aanvaller die gegevens in de aanroeppijplijn kan injecteren – bijvoorbeeld via een gecompromitteerde upstream-service of een vervalst API-verzoek – tools kan uitvoeren zonder ooit de guardrails van het model te activeren.
Het Strands SDK-gat is met name opmerkelijk omdat het aantoont dat cloudleveranciers hun beheerde services kunnen patchen terwijl ze dezelfde kwetsbaarheid open laten in de open-source componenten die ontwikkelaars gebruiken voor zelf-gehoste implementaties. Voor organisaties die aangepaste AI-agentinfrastructuur bouwen op basis van Strands, ligt de verantwoordelijkheid voor autorisatielogica volledig bij het ontwikkelingsteam.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
