CoreBreak: Luki w agentach AI AWS, Google i Vercel pozwalają atakującym ominąć wszystkie zabezpieczenia

Wszyscy trzej dostawcy załatali luki w swoich zarządzanych lub open-source'owych produktach przed ujawnieniem 6 sierpnia . Jednak historia na tym się nie kończy: AWS odmówił załatania tej samej ścieżki ataku w otwartym kodzie źródłowym biblioteki Strands Python SDK, na której opiera się jego harness AgentCore, pozostawiając użytkowników samodzielnie hostujących rozwiązania bez ochrony .

Dotknięte produkty, CVE i wyniki CVSS

Niezałatana luka w otwartym kodzie źródłowym: Strands Python SDK

Strands Python SDK to framework open-source, na którym opiera się Amazon Bedrock AgentCore. AWS załatał ścieżkę kodu pomijającą model w swojej zarządzanej usłudze Bedrock AgentCore (CVE-2026-18830), ale odmówił załatania tej samej luki w otwartym kodzie źródłowym Strands Python SDK .

• Co to jest: Ścieżka kodu „pomijająca model”, która umożliwia zastosowanie tego samego wzorca ataku CoreBreak — wywoływanie narzędzi agenta bez uprzedniej prawidłowej tury modelu — we wdrożeniach samodzielnie hostowanych, niezarządzanych .
• Czy przypisano CVE? Nie. AWS nie przypisał CVE ani nie wydał biuletynu bezpieczeństwa dla tej ścieżki kodu w SDK.
• Uzasadnienie AWS: Firma uważa SDK za narzędzie programistyczne i oczekuje, że użytkownicy końcowi zaimplementują własne kontrole autoryzacji podczas używania go poza zarządzaną usługą Bedrock .
• Ryzyko: Każda aplikacja zbudowana bezpośrednio na Strands Python SDK (bez korzystania z zarządzanego API Bedrock AgentCore) pozostaje narażona na ominięcie wywołania narzędzia, chyba że programista samodzielnie doda logikę autoryzacji tury modelu.

Harmonogramy łat i wymagane działania użytkownika

• AWS (CVE-2026-18830, CVSS 8.6): Załatano zarządzaną usługę Bedrock AgentCore po stronie serwera. Użytkownicy usługi zarządzanej nie musieli podejmować żadnych działań. Użytkownicy otwartego kodu źródłowego Strands Python SDK (na którym opiera się AgentCore) pozostali jednak narażeni, chyba że samodzielnie zaimplementowali kontrole autoryzacji .
• Google (CVE-2026-18236, CVSS 9.3): Załatano pakiet open-source Agent Development Kit dla języka Python w wersji 2.5.0. Użytkownicy muszą zaktualizować swój pakiet ADK dla Pythona do najnowszej wersji .
• Vercel (CVE-2026-64650/64651, CVSS 6.3): Załatano pakiety harness AI SDK. Użytkownicy muszą zaktualizować swoje zależności Vercel AI SDK do załatanych wersji: @ai-sdk/harness-codex 1.0.29 i @ai-sdk/harness-opencode 1.0.28 .

Co to oznacza dla bezpieczeństwa agentów AI

CoreBreak nie jest pojedynczym błędem oprogramowania, ale założeniem zaufania na poziomie projektowania: wszystkie trzy frameworki agentów domyślnie ufały, że dane w postaci wywołania narzędzia docierające do warstwy wykonawczej zostały autoryzowane przez poprzednią turę modelu. Żaden framework nie zweryfikował tej autoryzacji niezależnie . Ten wzorzec oznacza, że nawet jeśli trening bezpieczeństwa modelu jest doskonały, atakujący, który jest w stanie wstrzyknąć dane do potoku wywołań — na przykład poprzez skompromitowaną usługę nadrzędną lub spreparowane żądanie API — może wykonać narzędzia bez uruchamiania jakichkolwiek zabezpieczeń modelu.

Luka w Strands SDK jest szczególnie godna uwagi, ponieważ pokazuje, że dostawcy usług w chmurze mogą łatami zabezpieczać swoje zarządzane usługi, pozostawiając tę samą lukę otwartą w komponentach open-source, z których programiści korzystają w samodzielnie hostowanych wdrożeniach. W przypadku organizacji budujących niestandardową infrastrukturę agentów AI na bazie Strands, odpowiedzialność za logikę autoryzacji spada wyłącznie na zespół programistyczny.