CoreBreak: Luki w agentach AI AWS, Google i Vercel pozwalają atakującym ominąć wszystkie zabezpieczenia
CoreBreak to wieloplatformowy wzorzec ataku ujawniony na Black Hat USA 2026 przez badaczy Hedi Ingbera i Aviyama Ivgi z firmy Stealth. Najpoważniejsza luka w Google ADK otrzymała wynik CVSS 9.3 (Krytyczny); łatka dla zarządzanej usługi AWS nie wymagała działań ze strony użytkownika, ale samodzielne wdrożenia korzyst...
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
CoreBreak to wieloplatformowy wzorzec ataku ujawniony na Black Hat USA 2026 przez badaczy Hedi Ingbera i Aviyama Ivgi z firmy Stealth.
Najpoważniejsza luka w Google ADK otrzymała wynik CVSS 9.3 (Krytyczny); łatka dla zarządzanej usługi AWS nie wymagała działań ze strony użytkownika, ale samodzielne wdrożenia korzystające z SDK Strands nadal są narażo...
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
Na konferencji Black Hat USA 2026 w Las Vegas badacze bezpieczeństwa Hedi Ingber i Aviyam Ivgi z firmy Stealth ujawnili wieloplatformowy wzorzec ataku, któremu nadali nazwę CoreBreak. Główne odkrycie: warstwy wykonawcze narzędzi w Amazon Bedrock AgentCore, Google Agent Development Kit (ADK) i harnessach Vercel AI SDK można było oszukać, aby uruchomiły narzędzie agenta bez faktycznego wykonania prawidłowej tury modelu — co oznaczało całkowite ominięcie promptów systemowych, filtrów treści i mechanizmów odmowy .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CoreBreak: Luki w agentach AI AWS, Google i Vercel pozwalają atakującym ominąć wszystkie zabezpieczenia"?
CoreBreak to wieloplatformowy wzorzec ataku ujawniony na Black Hat USA 2026 przez badaczy Hedi Ingbera i Aviyama Ivgi z firmy Stealth.
What are the key points to validate first?
CoreBreak to wieloplatformowy wzorzec ataku ujawniony na Black Hat USA 2026 przez badaczy Hedi Ingbera i Aviyama Ivgi z firmy Stealth. Najpoważniejsza luka w Google ADK otrzymała wynik CVSS 9.3 (Krytyczny); łatka dla zarządzanej usługi AWS nie wymagała działań ze strony użytkownika, ale samodzielne wdrożenia korzystające z SDK Strands nadal są narażo...
CoreBreak: Luki w agentach AI AWS, Google i Vercel pozwalają atakującym ominąć wszystkie zabezpieczenia
CoreBreak to wieloplatformowy wzorzec ataku ujawniony na Black Hat USA 2026 przez badaczy Hedi Ingbera i Aviyama Ivgi z firmy Stealth. Najpoważniejsza luka w Google ADK otrzymała wynik CVSS 9.3 (Krytyczny); łatka dla zarządzanej usługi AWS nie wymagała działań ze strony użytkownika, ale samodzielne wdrożenia korzyst...
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
CoreBreak to wieloplatformowy wzorzec ataku ujawniony na Black Hat USA 2026 przez badaczy Hedi Ingbera i Aviyama Ivgi z firmy Stealth.
Najpoważniejsza luka w Google ADK otrzymała wynik CVSS 9.3 (Krytyczny); łatka dla zarządzanej usługi AWS nie wymagała działań ze strony użytkownika, ale samodzielne wdrożenia korzystające z SDK Strands nadal są narażo...
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
Na konferencji Black Hat USA 2026 w Las Vegas badacze bezpieczeństwa Hedi Ingber i Aviyam Ivgi z firmy Stealth ujawnili wieloplatformowy wzorzec ataku, któremu nadali nazwę CoreBreak. Główne odkrycie: warstwy wykonawcze narzędzi w Amazon Bedrock AgentCore, Google Agent Development Kit (ADK) i harnessach Vercel AI SDK można było oszukać, aby uruchomiły narzędzie agenta bez faktycznego wykonania prawidłowej tury modelu — co oznaczało całkowite ominięcie promptów systemowych, filtrów treści i mechanizmów odmowy .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CoreBreak: Luki w agentach AI AWS, Google i Vercel pozwalają atakującym ominąć wszystkie zabezpieczenia"?
CoreBreak to wieloplatformowy wzorzec ataku ujawniony na Black Hat USA 2026 przez badaczy Hedi Ingbera i Aviyama Ivgi z firmy Stealth.
What are the key points to validate first?
CoreBreak to wieloplatformowy wzorzec ataku ujawniony na Black Hat USA 2026 przez badaczy Hedi Ingbera i Aviyama Ivgi z firmy Stealth. Najpoważniejsza luka w Google ADK otrzymała wynik CVSS 9.3 (Krytyczny); łatka dla zarządzanej usługi AWS nie wymagała działań ze strony użytkownika, ale samodzielne wdrożenia korzystające z SDK Strands nadal są narażo...
Wszyscy trzej dostawcy załatali luki w swoich zarządzanych lub open-source'owych produktach przed ujawnieniem 6 sierpnia. Jednak historia na tym się nie kończy: AWS odmówił załatania tej samej ścieżki ataku w otwartym kodzie źródłowym biblioteki Strands Python SDK, na której opiera się jego harness AgentCore, pozostawiając użytkowników samodzielnie hostujących rozwiązania bez ochrony .
Dotknięte produkty, CVE i wyniki CVSS
Dostawca
Dotknięty komponent
CVE
Wynik CVSS v4.0
Załatane?
AWS
Amazon Bedrock AgentCore — API InvokeHarness
CVE-2026-18830
8.6 (Wysoki)
✅ Tak (usługa zarządzana)
Google
Agent Development Kit (ADK) dla języka Python
CVE-2026-18236
9.3 (Krytyczny)
✅ Tak (ADK 2.5.0)
Vercel
Pakiety harness AI SDK (Codex i OpenCode)
CVE-2026-64650 / CVE-2026-64651
6.3 (Średni)
✅ Tak (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
Niezałatana luka w otwartym kodzie źródłowym: Strands Python SDK
Strands Python SDK to framework open-source, na którym opiera się Amazon Bedrock AgentCore. AWS załatał ścieżkę kodu pomijającą model w swojej zarządzanej usłudze Bedrock AgentCore (CVE-2026-18830), ale odmówił załatania tej samej luki w otwartym kodzie źródłowym Strands Python SDK.
Co to jest: Ścieżka kodu „pomijająca model”, która umożliwia zastosowanie tego samego wzorca ataku CoreBreak — wywoływanie narzędzi agenta bez uprzedniej prawidłowej tury modelu — we wdrożeniach samodzielnie hostowanych, niezarządzanych .
Czy przypisano CVE? Nie. AWS nie przypisał CVE ani nie wydał biuletynu bezpieczeństwa dla tej ścieżki kodu w SDK.
Uzasadnienie AWS: Firma uważa SDK za narzędzie programistyczne i oczekuje, że użytkownicy końcowi zaimplementują własne kontrole autoryzacji podczas używania go poza zarządzaną usługą Bedrock .
Ryzyko: Każda aplikacja zbudowana bezpośrednio na Strands Python SDK (bez korzystania z zarządzanego API Bedrock AgentCore) pozostaje narażona na ominięcie wywołania narzędzia, chyba że programista samodzielnie doda logikę autoryzacji tury modelu.
Harmonogramy łat i wymagane działania użytkownika
AWS (CVE-2026-18830, CVSS 8.6): Załatano zarządzaną usługę Bedrock AgentCore po stronie serwera. Użytkownicy usługi zarządzanej nie musieli podejmować żadnych działań. Użytkownicy otwartego kodu źródłowego Strands Python SDK (na którym opiera się AgentCore) pozostali jednak narażeni, chyba że samodzielnie zaimplementowali kontrole autoryzacji .
Google (CVE-2026-18236, CVSS 9.3): Załatano pakiet open-source Agent Development Kit dla języka Python w wersji 2.5.0. Użytkownicy muszą zaktualizować swój pakiet ADK dla Pythona do najnowszej wersji .
Vercel (CVE-2026-64650/64651, CVSS 6.3): Załatano pakiety harness AI SDK. Użytkownicy muszą zaktualizować swoje zależności Vercel AI SDK do załatanych wersji: @ai-sdk/harness-codex 1.0.29 i @ai-sdk/harness-opencode 1.0.28 .
Co to oznacza dla bezpieczeństwa agentów AI
CoreBreak nie jest pojedynczym błędem oprogramowania, ale założeniem zaufania na poziomie projektowania: wszystkie trzy frameworki agentów domyślnie ufały, że dane w postaci wywołania narzędzia docierające do warstwy wykonawczej zostały autoryzowane przez poprzednią turę modelu. Żaden framework nie zweryfikował tej autoryzacji niezależnie . Ten wzorzec oznacza, że nawet jeśli trening bezpieczeństwa modelu jest doskonały, atakujący, który jest w stanie wstrzyknąć dane do potoku wywołań — na przykład poprzez skompromitowaną usługę nadrzędną lub spreparowane żądanie API — może wykonać narzędzia bez uruchamiania jakichkolwiek zabezpieczeń modelu.
Luka w Strands SDK jest szczególnie godna uwagi, ponieważ pokazuje, że dostawcy usług w chmurze mogą łatami zabezpieczać swoje zarządzane usługi, pozostawiając tę samą lukę otwartą w komponentach open-source, z których programiści korzystają w samodzielnie hostowanych wdrożeniach. W przypadku organizacji budujących niestandardową infrastrukturę agentów AI na bazie Strands, odpowiedzialność za logikę autoryzacji spada wyłącznie na zespół programistyczny.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
Wszyscy trzej dostawcy załatali luki w swoich zarządzanych lub open-source'owych produktach przed ujawnieniem 6 sierpnia. Jednak historia na tym się nie kończy: AWS odmówił załatania tej samej ścieżki ataku w otwartym kodzie źródłowym biblioteki Strands Python SDK, na której opiera się jego harness AgentCore, pozostawiając użytkowników samodzielnie hostujących rozwiązania bez ochrony .
Dotknięte produkty, CVE i wyniki CVSS
Dostawca
Dotknięty komponent
CVE
Wynik CVSS v4.0
Załatane?
AWS
Amazon Bedrock AgentCore — API InvokeHarness
CVE-2026-18830
8.6 (Wysoki)
✅ Tak (usługa zarządzana)
Google
Agent Development Kit (ADK) dla języka Python
CVE-2026-18236
9.3 (Krytyczny)
✅ Tak (ADK 2.5.0)
Vercel
Pakiety harness AI SDK (Codex i OpenCode)
CVE-2026-64650 / CVE-2026-64651
6.3 (Średni)
✅ Tak (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
Niezałatana luka w otwartym kodzie źródłowym: Strands Python SDK
Strands Python SDK to framework open-source, na którym opiera się Amazon Bedrock AgentCore. AWS załatał ścieżkę kodu pomijającą model w swojej zarządzanej usłudze Bedrock AgentCore (CVE-2026-18830), ale odmówił załatania tej samej luki w otwartym kodzie źródłowym Strands Python SDK.
Co to jest: Ścieżka kodu „pomijająca model”, która umożliwia zastosowanie tego samego wzorca ataku CoreBreak — wywoływanie narzędzi agenta bez uprzedniej prawidłowej tury modelu — we wdrożeniach samodzielnie hostowanych, niezarządzanych .
Czy przypisano CVE? Nie. AWS nie przypisał CVE ani nie wydał biuletynu bezpieczeństwa dla tej ścieżki kodu w SDK.
Uzasadnienie AWS: Firma uważa SDK za narzędzie programistyczne i oczekuje, że użytkownicy końcowi zaimplementują własne kontrole autoryzacji podczas używania go poza zarządzaną usługą Bedrock .
Ryzyko: Każda aplikacja zbudowana bezpośrednio na Strands Python SDK (bez korzystania z zarządzanego API Bedrock AgentCore) pozostaje narażona na ominięcie wywołania narzędzia, chyba że programista samodzielnie doda logikę autoryzacji tury modelu.
Harmonogramy łat i wymagane działania użytkownika
AWS (CVE-2026-18830, CVSS 8.6): Załatano zarządzaną usługę Bedrock AgentCore po stronie serwera. Użytkownicy usługi zarządzanej nie musieli podejmować żadnych działań. Użytkownicy otwartego kodu źródłowego Strands Python SDK (na którym opiera się AgentCore) pozostali jednak narażeni, chyba że samodzielnie zaimplementowali kontrole autoryzacji .
Google (CVE-2026-18236, CVSS 9.3): Załatano pakiet open-source Agent Development Kit dla języka Python w wersji 2.5.0. Użytkownicy muszą zaktualizować swój pakiet ADK dla Pythona do najnowszej wersji .
Vercel (CVE-2026-64650/64651, CVSS 6.3): Załatano pakiety harness AI SDK. Użytkownicy muszą zaktualizować swoje zależności Vercel AI SDK do załatanych wersji: @ai-sdk/harness-codex 1.0.29 i @ai-sdk/harness-opencode 1.0.28 .
Co to oznacza dla bezpieczeństwa agentów AI
CoreBreak nie jest pojedynczym błędem oprogramowania, ale założeniem zaufania na poziomie projektowania: wszystkie trzy frameworki agentów domyślnie ufały, że dane w postaci wywołania narzędzia docierające do warstwy wykonawczej zostały autoryzowane przez poprzednią turę modelu. Żaden framework nie zweryfikował tej autoryzacji niezależnie . Ten wzorzec oznacza, że nawet jeśli trening bezpieczeństwa modelu jest doskonały, atakujący, który jest w stanie wstrzyknąć dane do potoku wywołań — na przykład poprzez skompromitowaną usługę nadrzędną lub spreparowane żądanie API — może wykonać narzędzia bez uruchamiania jakichkolwiek zabezpieczeń modelu.
Luka w Strands SDK jest szczególnie godna uwagi, ponieważ pokazuje, że dostawcy usług w chmurze mogą łatami zabezpieczać swoje zarządzane usługi, pozostawiając tę samą lukę otwartą w komponentach open-source, z których programiści korzystają w samodzielnie hostowanych wdrożeniach. W przypadku organizacji budujących niestandardową infrastrukturę agentów AI na bazie Strands, odpowiedzialność za logikę autoryzacji spada wyłącznie na zespół programistyczny.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
