CoreBreak: Slik omgikk angripere AI-agentenes sperringer hos AWS, Google og Vercel
CoreBreak er et tverrplattform angrepsmønster presentert på Black Hat USA 2026 av forskerne Hedi Ingber og Aviyam Ivgi i Stealth. Den alvorligste sårbarheten ble funnet i Googles ADK med CVSS 9,3 (kritisk); AWS rettet den administrerte tjenesten automatisk, men selv hostede installasjoner som bruker Strands SDK er f...
Publisert avRedigert med DeepSeek-V4-FlashBilder generert med GPT Image 1.5
CoreBreak er et tverrplattform angrepsmønster presentert på Black Hat USA 2026 av forskerne Hedi Ingber og Aviyam Ivgi i Stealth.
Den alvorligste sårbarheten ble funnet i Googles ADK med CVSS 9,3 (kritisk); AWS rettet den administrerte tjenesten automatisk, men selv hostede installasjoner som bruker Strands SDK er fortsatt utsatt.
Sårbarhetene utnytter en designfeil der verktøyutførelseslaget stoler blindt på at dataene er godkjent av en modellrunde – uten å verifisere dette.
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
Under Black Hat USA 2026 i Las Vegas avdekket sikkerhetsforskerne Hedi Ingber og Aviyam Ivgi i selskapet Stealth et tverrplattform-angrepsmønster de kalte CoreBreak. Kjerneinnsikten: verktøyutførelseslagene i Amazon Bedrock AgentCore, Googles Agent Development Kit (ADK) og Vercels AI SDK-harnesser kunne alle lures til å kjøre et agentverktøy uten at en legitim modellrunde noen gang fant sted – noe som betydde at systeminstruksjoner, innholdsfiltre og avvisningsopplæring ble fullstendig omgått .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CoreBreak: Slik omgikk angripere AI-agentenes sperringer hos AWS, Google og Vercel"?
CoreBreak er et tverrplattform angrepsmønster presentert på Black Hat USA 2026 av forskerne Hedi Ingber og Aviyam Ivgi i Stealth.
What are the key points to validate first?
CoreBreak er et tverrplattform angrepsmønster presentert på Black Hat USA 2026 av forskerne Hedi Ingber og Aviyam Ivgi i Stealth. Den alvorligste sårbarheten ble funnet i Googles ADK med CVSS 9,3 (kritisk); AWS rettet den administrerte tjenesten automatisk, men selv hostede installasjoner som bruker Strands SDK er fortsatt utsatt.
What should I do next in practice?
Sårbarhetene utnytter en designfeil der verktøyutførelseslaget stoler blindt på at dataene er godkjent av en modellrunde – uten å verifisere dette.
CoreBreak: Slik omgikk angripere AI-agentenes sperringer hos AWS, Google og Vercel
CoreBreak er et tverrplattform angrepsmønster presentert på Black Hat USA 2026 av forskerne Hedi Ingber og Aviyam Ivgi i Stealth. Den alvorligste sårbarheten ble funnet i Googles ADK med CVSS 9,3 (kritisk); AWS rettet den administrerte tjenesten automatisk, men selv hostede installasjoner som bruker Strands SDK er f...
Publisert avRedigert med DeepSeek-V4-FlashBilder generert med GPT Image 1.5
CoreBreak er et tverrplattform angrepsmønster presentert på Black Hat USA 2026 av forskerne Hedi Ingber og Aviyam Ivgi i Stealth.
Den alvorligste sårbarheten ble funnet i Googles ADK med CVSS 9,3 (kritisk); AWS rettet den administrerte tjenesten automatisk, men selv hostede installasjoner som bruker Strands SDK er fortsatt utsatt.
Sårbarhetene utnytter en designfeil der verktøyutførelseslaget stoler blindt på at dataene er godkjent av en modellrunde – uten å verifisere dette.
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
Under Black Hat USA 2026 i Las Vegas avdekket sikkerhetsforskerne Hedi Ingber og Aviyam Ivgi i selskapet Stealth et tverrplattform-angrepsmønster de kalte CoreBreak. Kjerneinnsikten: verktøyutførelseslagene i Amazon Bedrock AgentCore, Googles Agent Development Kit (ADK) og Vercels AI SDK-harnesser kunne alle lures til å kjøre et agentverktøy uten at en legitim modellrunde noen gang fant sted – noe som betydde at systeminstruksjoner, innholdsfiltre og avvisningsopplæring ble fullstendig omgått .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CoreBreak: Slik omgikk angripere AI-agentenes sperringer hos AWS, Google og Vercel"?
CoreBreak er et tverrplattform angrepsmønster presentert på Black Hat USA 2026 av forskerne Hedi Ingber og Aviyam Ivgi i Stealth.
What are the key points to validate first?
CoreBreak er et tverrplattform angrepsmønster presentert på Black Hat USA 2026 av forskerne Hedi Ingber og Aviyam Ivgi i Stealth. Den alvorligste sårbarheten ble funnet i Googles ADK med CVSS 9,3 (kritisk); AWS rettet den administrerte tjenesten automatisk, men selv hostede installasjoner som bruker Strands SDK er fortsatt utsatt.
What should I do next in practice?
Sårbarhetene utnytter en designfeil der verktøyutførelseslaget stoler blindt på at dataene er godkjent av en modellrunde – uten å verifisere dette.
Alle tre leverandørene rettet sårbarhetene i sine administrerte eller open source-produkter før offentliggjøringen 6. august. Men historien slutter ikke der: AWS nektet å rette det samme angrepsmønsteret i det open source-baserte Strands Python SDK-et som ligger under AgentCore-harneset, og etterlot dermed selv-hostede brukere utsatt .
Berørte produkter, CVE-er og CVSS-skårer
Leverandør
Berørt komponent
CVE(r)
CVSS v4.0
Utbedret?
AWS
Amazon Bedrock AgentCore – InvokeHarness API
CVE-2026-18830
8,6 (Høy)
✅ Ja (administrert tjeneste)
Google
Agent Development Kit (ADK) for Python
CVE-2026-18236
9,3 (Kritisk)
✅ Ja (ADK 2.5.0)
Vercel
AI SDK-harness-pakker (Codex & OpenCode)
CVE-2026-64650 / CVE-2026-64651
6,3 (Medium)
✅ Ja (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
Den ubeskyttede open source-sårbarheten: Strands Python SDK
Strands Python SDK er open source-rammeverket som ligger under Amazon Bedrock AgentCore. AWS rettet den modellhoppende kodebanen i sin administrerte Bedrock AgentCore-tjeneste (CVE-2026-18830), men nektet å rette den samme sårbarheten i det open source-baserte Strands Python SDK-et.
Hva det er: En «modellhoppende» kodebane som tillater det samme CoreBreak-angrepsmønsteret – å kalle agentverktøy uten en legitim modellrunde – i selv-hostede, ikke-administrerte installasjoner .
CVE tildelt? Nei. AWS tildelte ingen CVE eller utstedte ingen sikkerhetsbulletin for denne SDK-kodebanen.
AWS' begrunnelse: Selskapet anser SDK-et som et utviklerverktøy og forventer at sluttbrukere implementerer sine egne autorisasjonskontroller når de bruker det utenfor den administrerte Bedrock-tjenesten .
Risiko: Enhver applikasjon bygget direkte på Strands Python SDK (uten å gå via det administrerte Bedrock AgentCore API-et) forblir sårbar for verktøykallomgåelse med mindre utvikleren selv legger til logikk for modellrundeautorisasjon.
Oppdateringsplan og nødvendige tiltak
AWS (CVE-2026-18830, CVSS 8,6): Rettet den administrerte Bedrock AgentCore-tjenesten på serversiden. Brukere av den administrerte tjenesten trengte ingen handling. Brukere av det open source-baserte Strands Python SDK-et (som ligger under AgentCore) forble imidlertid utsatt med mindre de selv implementerte autorisasjonskontroller .
Google (CVE-2026-18236, CVSS 9,3): Rettet det open source-baserte Agent Development Kit for Python i versjon 2.5.0. Brukere må oppdatere ADK Python-pakken til nyeste versjon .
Vercel (CVE-2026-64650/64651, CVSS 6,3): Rettet AI SDK-harness-pakkene. Brukere må oppdatere sine Vercel AI SDK-avhengigheter til de utbedrede versjonene: @ai-sdk/harness-codex 1.0.29 og @ai-sdk/harness-opencode 1.0.28 .
Hva dette betyr for sikkerheten til AI-agenter
CoreBreak er ikke én enkelt programvarefeil, men en tillitsantakelse på designnivå: alle tre agentrammeverkene stolte implisitt på at data formet som et verktøykall som ankom utførelseslaget, var godkjent av en tidligere modellrunde. Intet rammeverk verifiserte denne autorisasjonen uavhengig . Dette mønsteret betyr at selv om modellens sikkerhetsopplæring er perfekt, kan en angriper som kan injisere data i kallingspipelinen – for eksempel via en kompromittert oppstrømstjeneste eller en fabrikkert API-forespørsel – utføre verktøy uten noen gang å utløse modellens sperringer.
Strands SDK-gapet er spesielt bemerkelsesverdig fordi det viser at skyleverandører kan rette sine administrerte tjenester, samtidig som de lar den samme sårbarheten stå åpen i open source-komponentene som utviklere bruker til selv-hostede installasjoner. For organisasjoner som bygger tilpasset AI-agentinfrastruktur på toppen av Strands, faller ansvaret for autorisasjonslogikk fullt og helt på utviklingsteamet.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
Alle tre leverandørene rettet sårbarhetene i sine administrerte eller open source-produkter før offentliggjøringen 6. august. Men historien slutter ikke der: AWS nektet å rette det samme angrepsmønsteret i det open source-baserte Strands Python SDK-et som ligger under AgentCore-harneset, og etterlot dermed selv-hostede brukere utsatt .
Berørte produkter, CVE-er og CVSS-skårer
Leverandør
Berørt komponent
CVE(r)
CVSS v4.0
Utbedret?
AWS
Amazon Bedrock AgentCore – InvokeHarness API
CVE-2026-18830
8,6 (Høy)
✅ Ja (administrert tjeneste)
Google
Agent Development Kit (ADK) for Python
CVE-2026-18236
9,3 (Kritisk)
✅ Ja (ADK 2.5.0)
Vercel
AI SDK-harness-pakker (Codex & OpenCode)
CVE-2026-64650 / CVE-2026-64651
6,3 (Medium)
✅ Ja (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
Den ubeskyttede open source-sårbarheten: Strands Python SDK
Strands Python SDK er open source-rammeverket som ligger under Amazon Bedrock AgentCore. AWS rettet den modellhoppende kodebanen i sin administrerte Bedrock AgentCore-tjeneste (CVE-2026-18830), men nektet å rette den samme sårbarheten i det open source-baserte Strands Python SDK-et.
Hva det er: En «modellhoppende» kodebane som tillater det samme CoreBreak-angrepsmønsteret – å kalle agentverktøy uten en legitim modellrunde – i selv-hostede, ikke-administrerte installasjoner .
CVE tildelt? Nei. AWS tildelte ingen CVE eller utstedte ingen sikkerhetsbulletin for denne SDK-kodebanen.
AWS' begrunnelse: Selskapet anser SDK-et som et utviklerverktøy og forventer at sluttbrukere implementerer sine egne autorisasjonskontroller når de bruker det utenfor den administrerte Bedrock-tjenesten .
Risiko: Enhver applikasjon bygget direkte på Strands Python SDK (uten å gå via det administrerte Bedrock AgentCore API-et) forblir sårbar for verktøykallomgåelse med mindre utvikleren selv legger til logikk for modellrundeautorisasjon.
Oppdateringsplan og nødvendige tiltak
AWS (CVE-2026-18830, CVSS 8,6): Rettet den administrerte Bedrock AgentCore-tjenesten på serversiden. Brukere av den administrerte tjenesten trengte ingen handling. Brukere av det open source-baserte Strands Python SDK-et (som ligger under AgentCore) forble imidlertid utsatt med mindre de selv implementerte autorisasjonskontroller .
Google (CVE-2026-18236, CVSS 9,3): Rettet det open source-baserte Agent Development Kit for Python i versjon 2.5.0. Brukere må oppdatere ADK Python-pakken til nyeste versjon .
Vercel (CVE-2026-64650/64651, CVSS 6,3): Rettet AI SDK-harness-pakkene. Brukere må oppdatere sine Vercel AI SDK-avhengigheter til de utbedrede versjonene: @ai-sdk/harness-codex 1.0.29 og @ai-sdk/harness-opencode 1.0.28 .
Hva dette betyr for sikkerheten til AI-agenter
CoreBreak er ikke én enkelt programvarefeil, men en tillitsantakelse på designnivå: alle tre agentrammeverkene stolte implisitt på at data formet som et verktøykall som ankom utførelseslaget, var godkjent av en tidligere modellrunde. Intet rammeverk verifiserte denne autorisasjonen uavhengig . Dette mønsteret betyr at selv om modellens sikkerhetsopplæring er perfekt, kan en angriper som kan injisere data i kallingspipelinen – for eksempel via en kompromittert oppstrømstjeneste eller en fabrikkert API-forespørsel – utføre verktøy uten noen gang å utløse modellens sperringer.
Strands SDK-gapet er spesielt bemerkelsesverdig fordi det viser at skyleverandører kan rette sine administrerte tjenester, samtidig som de lar den samme sårbarheten stå åpen i open source-komponentene som utviklere bruker til selv-hostede installasjoner. For organisasjoner som bygger tilpasset AI-agentinfrastruktur på toppen av Strands, faller ansvaret for autorisasjonslogikk fullt og helt på utviklingsteamet.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
