CoreBreak: Критические уязвимости в AI-агентах AWS, Google и Vercel

Все три компании выпустили исправления для своих управляемых или открытых продуктов до обнародования информации 6 августа . Однако на этом история не заканчивается: AWS отказалась исправлять аналогичный вектор атаки в open-source Python SDK Strands, который лежит в основе AgentCore, оставив пользователей локальных развертываний без защиты .

Затронутые продукты, CVE и оценки CVSS

Незакрытая уязвимость в open-source: Strands Python SDK

Strands Python SDK — это open-source фреймворк, на котором построен Amazon Bedrock AgentCore. AWS исправила проблему с пропуском модели в своем управляемом сервисе Bedrock AgentCore (CVE-2026-18830), но отказалась патчить ту же самую уязвимость в open-source Strands Python SDK .

• Что это: Код, который позволяет использовать паттерн атаки CoreBreak — запуск инструментов агента без обращения к модели — в самостоятельно развернутых, неуправляемых средах .
• CVE присвоен? Нет. AWS не присвоила CVE и не выпустила бюллетень безопасности для этого компонента SDK.
• Позиция AWS: Компания считает SDK инструментом для разработчиков и ожидает, что пользователи будут самостоятельно реализовывать проверки авторизации при его использовании вне управляемого сервиса Bedrock .
• Риск: Любое приложение, построенное непосредственно на Strands Python SDK (без использования управляемого API Bedrock AgentCore), остается уязвимым для обхода вызова инструментов, если разработчик самостоятельно не добавит логику авторизации на уровне модели.

График выпуска патчей и необходимые действия пользователей

• AWS (CVE-2026-18830, CVSS 8.6): Исправление внесено на стороне сервера управляемого сервиса Bedrock AgentCore. Пользователям управляемого сервиса не требовалось никаких действий. Однако пользователи open-source Strands Python SDK (лежащего в основе AgentCore) остались уязвимыми, если не реализовали собственные проверки авторизации .
• Google (CVE-2026-18236, CVSS 9.3): Исправление выпущено для open-source Agent Development Kit для Python в версии 2.5.0. Пользователям необходимо обновить пакет ADK Python до последней версии .
• Vercel (CVE-2026-64650/64651, CVSS 6.3): Исправлены пакеты AI SDK harness. Пользователям необходимо обновить зависимости Vercel AI SDK до исправленных версий: @ai-sdk/harness-codex 1.0.29 и @ai-sdk/harness-opencode 1.0.28 .

Что это значит для безопасности AI-агентов

CoreBreak — это не единичная ошибка в коде, а проблема доверия на уровне архитектуры: все три фреймворка для агентов неявно доверяли данным в формате вызова инструмента, поступающим на уровень выполнения, считая, что они были авторизованы предыдущим обращением к модели. Ни один фреймворк не проверял эту авторизацию независимо . Этот паттерн означает, что даже если обучение безопасности модели идеально, злоумышленник, способный внедрить данные в конвейер вызовов — например, через скомпрометированный вышестоящий сервис или подделанный API-запрос — может выполнять инструменты, не запуская защитные механизмы модели.

Проблема с Strands SDK особенно показательна: она демонстрирует, что облачные провайдеры могут исправлять свои управляемые сервисы, оставляя те же самые уязвимости открытыми в open-source компонентах, которые разработчики используют для самостоятельного развертывания. Для организаций, строящих собственную инфраструктуру AI-агентов на основе Strands, ответственность за логику авторизации полностью ложится на команду разработчиков.