CoreBreak: Falhas Críticas em Agentes de IA da AWS, Google e Vercel

As três empresas corrigiram as vulnerabilidades em seus produtos gerenciados ou de código aberto antes da revelação em 6 de agosto . Mas a história não termina aí: a AWS se recusou a corrigir o mesmo vetor de ataque no SDK Python Strands de código aberto que sustenta seu harness AgentCore, deixando usuários que fazem auto-hospedagem expostos .

Produtos Afetados, CVEs e Pontuações CVSS

A Falha de Código Aberto Não Corrigida: SDK Python Strands

O SDK Python Strands é a estrutura de código aberto que sustenta o Amazon Bedrock AgentCore. A AWS corrigiu o caminho de código que ignorava o modelo em seu serviço gerenciado Bedrock AgentCore (CVE-2026-18830), mas se recusou a corrigir a mesma vulnerabilidade no SDK Python Strands de código aberto .

• O que é: Um caminho de código que "pula o modelo", permitindo que o mesmo padrão de ataque CoreBreak — invocar ferramentas do agente sem uma interação legítima do modelo — tenha sucesso em implantações auto-gerenciadas e não gerenciadas .
• CVE atribuído? Não. A AWS não atribuiu um CVE ou emitiu um boletim de segurança para este caminho de código no SDK.
• Justificativa da AWS: A empresa considera o SDK uma ferramenta de desenvolvedor e espera que os usuários finais implementem suas próprias verificações de autorização ao usá-lo fora do serviço gerenciado Bedrock .
• Risco: Qualquer aplicação construída diretamente sobre o SDK Python Strands (sem passar pela API gerenciada do Bedrock AgentCore) permanece vulnerável ao bypass de invocação de ferramentas, a menos que o desenvolvedor adicione independentemente a lógica de autorização de interação do modelo.

Cronograma de Correções e Ações Necessárias do Usuário

• AWS (CVE-2026-18830, CVSS 8.6): Corrigiu o serviço gerenciado Bedrock AgentCore no lado do servidor. Usuários do serviço gerenciado não precisaram tomar nenhuma ação. No entanto, usuários do SDK Python Strands de código aberto (que sustenta o AgentCore) permaneceram expostos, a menos que implementassem suas próprias verificações de autorização .
• Google (CVE-2026-18236, CVSS 9.3): Corrigiu o Agent Development Kit de código aberto para Python na versão 2.5.0. Os usuários devem atualizar seu pacote ADK Python para a versão mais recente .
• Vercel (CVE-2026-64650/64651, CVSS 6.3): Corrigiu os pacotes harness do AI SDK. Os usuários devem atualizar suas dependências do Vercel AI SDK para as versões corrigidas: @ai-sdk/harness-codex 1.0.29 e @ai-sdk/harness-opencode 1.0.28 .

O Que Isso Significa para a Segurança de Agentes de IA

O CoreBreak não é um único bug de software, mas uma suposição de confiança em nível de design: os três frameworks de agentes implicitamente confiavam que dados em formato de chamada de ferramenta que chegavam à camada de execução haviam sido autorizados por uma interação anterior do modelo. Nenhum framework verificava essa autorização de forma independente . Esse padrão significa que, mesmo que o treinamento de segurança de um modelo seja perfeito, um atacante que consiga injetar dados no pipeline de invocação — por exemplo, por meio de um serviço upstream comprometido ou uma requisição de API manipulada — pode executar ferramentas sem nunca acionar as proteções do modelo.

A lacuna no SDK Strands é particularmente notável porque demonstra que provedores de nuvem podem corrigir seus serviços gerenciados enquanto deixam a mesma vulnerabilidade em aberto nos componentes de código aberto que os desenvolvedores usam para implantações auto-gerenciadas. Para organizações que constroem infraestrutura personalizada de agentes de IA sobre o Strands, a responsabilidade pela lógica de autorização recai inteiramente sobre a equipe de desenvolvimento.