CoreBreak: Критические уязвимости в AI-агентах AWS, Google и Vercel
CoreBreak — кроссплатформенный паттерн атак, раскрытый на Black Hat USA 2026 исследователями Hedi Ingber и Aviyam Ivgi из компании Stealth. Самая опасная уязвимость (CVSS 9.3) обнаружена в Google ADK; AWS исправила проблему в управляемом сервисе, но оставила уязвимость в open source Strands SDK без патча.
ОпубликовалОтредактировано с помощью DeepSeek-V4-FlashИзображения созданы с помощью GPT Image 1.5
CoreBreak — кроссплатформенный паттерн атак, раскрытый на Black Hat USA 2026 исследователями Hedi Ingber и Aviyam Ivgi из компании Stealth.
Самая опасная уязвимость (CVSS 9.3) обнаружена в Google ADK; AWS исправила проблему в управляемом сервисе, но оставила уязвимость в open source Strands SDK без патча.
Все три вендора выпустили исправления до 6 августа 2026 года, но пользователям Google ADK и Vercel AI SDK необходимо вручную обновить зависимости.
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
На конференции Black Hat USA 2026 в Лас-Вегасе исследователи безопасности Hedi Ingber и Aviyam Ivgi из компании Stealth представили кроссплатформенный паттерн атак, получивший название CoreBreak. Суть проблемы в том, что уровни выполнения инструментов в Amazon Bedrock AgentCore, Google Agent Development Kit (ADK) и Vercel AI SDK могут быть обманом заставлены запустить инструмент агента без единого легитимного обращения к модели. Это означает, что системные промпты, фильтры контента и обучение отказам были полностью обойдены .
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «CoreBreak: Критические уязвимости в AI-агентах AWS, Google и Vercel»?
CoreBreak — кроссплатформенный паттерн атак, раскрытый на Black Hat USA 2026 исследователями Hedi Ingber и Aviyam Ivgi из компании Stealth.
Какие ключевые моменты необходимо проверить в первую очередь?
CoreBreak — кроссплатформенный паттерн атак, раскрытый на Black Hat USA 2026 исследователями Hedi Ingber и Aviyam Ivgi из компании Stealth. Самая опасная уязвимость (CVSS 9.3) обнаружена в Google ADK; AWS исправила проблему в управляемом сервисе, но оставила уязвимость в open source Strands SDK без патча.
Что мне делать дальше на практике?
Все три вендора выпустили исправления до 6 августа 2026 года, но пользователям Google ADK и Vercel AI SDK необходимо вручную обновить зависимости.
CoreBreak: Критические уязвимости в AI-агентах AWS, Google и Vercel
CoreBreak — кроссплатформенный паттерн атак, раскрытый на Black Hat USA 2026 исследователями Hedi Ingber и Aviyam Ivgi из компании Stealth. Самая опасная уязвимость (CVSS 9.3) обнаружена в Google ADK; AWS исправила проблему в управляемом сервисе, но оставила уязвимость в open source Strands SDK без патча.
ОпубликовалОтредактировано с помощью DeepSeek-V4-FlashИзображения созданы с помощью GPT Image 1.5
CoreBreak — кроссплатформенный паттерн атак, раскрытый на Black Hat USA 2026 исследователями Hedi Ingber и Aviyam Ivgi из компании Stealth.
Самая опасная уязвимость (CVSS 9.3) обнаружена в Google ADK; AWS исправила проблему в управляемом сервисе, но оставила уязвимость в open source Strands SDK без патча.
Все три вендора выпустили исправления до 6 августа 2026 года, но пользователям Google ADK и Vercel AI SDK необходимо вручную обновить зависимости.
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
На конференции Black Hat USA 2026 в Лас-Вегасе исследователи безопасности Hedi Ingber и Aviyam Ivgi из компании Stealth представили кроссплатформенный паттерн атак, получивший название CoreBreak. Суть проблемы в том, что уровни выполнения инструментов в Amazon Bedrock AgentCore, Google Agent Development Kit (ADK) и Vercel AI SDK могут быть обманом заставлены запустить инструмент агента без единого легитимного обращения к модели. Это означает, что системные промпты, фильтры контента и обучение отказам были полностью обойдены .
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «CoreBreak: Критические уязвимости в AI-агентах AWS, Google и Vercel»?
CoreBreak — кроссплатформенный паттерн атак, раскрытый на Black Hat USA 2026 исследователями Hedi Ingber и Aviyam Ivgi из компании Stealth.
Какие ключевые моменты необходимо проверить в первую очередь?
CoreBreak — кроссплатформенный паттерн атак, раскрытый на Black Hat USA 2026 исследователями Hedi Ingber и Aviyam Ivgi из компании Stealth. Самая опасная уязвимость (CVSS 9.3) обнаружена в Google ADK; AWS исправила проблему в управляемом сервисе, но оставила уязвимость в open source Strands SDK без патча.
Что мне делать дальше на практике?
Все три вендора выпустили исправления до 6 августа 2026 года, но пользователям Google ADK и Vercel AI SDK необходимо вручную обновить зависимости.
Все три компании выпустили исправления для своих управляемых или открытых продуктов до обнародования информации 6 августа. Однако на этом история не заканчивается: AWS отказалась исправлять аналогичный вектор атаки в open-source Python SDK Strands, который лежит в основе AgentCore, оставив пользователей локальных развертываний без защиты .
Затронутые продукты, CVE и оценки CVSS
Вендор
Затронутый компонент
CVE
CVSS v4.0
Исправлено?
AWS
Amazon Bedrock AgentCore — InvokeHarness API
CVE-2026-18830
8.6 (Высокий)
✅ Да (управляемый сервис)
Google
Agent Development Kit (ADK) для Python
CVE-2026-18236
9.3 (Критический)
✅ Да (ADK 2.5.0)
Vercel
Пакеты AI SDK harness (Codex и OpenCode)
CVE-2026-64650 / CVE-2026-64651
6.3 (Средний)
✅ Да (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
Незакрытая уязвимость в open-source: Strands Python SDK
Strands Python SDK — это open-source фреймворк, на котором построен Amazon Bedrock AgentCore. AWS исправила проблему с пропуском модели в своем управляемом сервисе Bedrock AgentCore (CVE-2026-18830), но отказалась патчить ту же самую уязвимость в open-source Strands Python SDK.
Что это: Код, который позволяет использовать паттерн атаки CoreBreak — запуск инструментов агента без обращения к модели — в самостоятельно развернутых, неуправляемых средах .
CVE присвоен? Нет. AWS не присвоила CVE и не выпустила бюллетень безопасности для этого компонента SDK.
Позиция AWS: Компания считает SDK инструментом для разработчиков и ожидает, что пользователи будут самостоятельно реализовывать проверки авторизации при его использовании вне управляемого сервиса Bedrock .
Риск: Любое приложение, построенное непосредственно на Strands Python SDK (без использования управляемого API Bedrock AgentCore), остается уязвимым для обхода вызова инструментов, если разработчик самостоятельно не добавит логику авторизации на уровне модели.
График выпуска патчей и необходимые действия пользователей
AWS (CVE-2026-18830, CVSS 8.6): Исправление внесено на стороне сервера управляемого сервиса Bedrock AgentCore. Пользователям управляемого сервиса не требовалось никаких действий. Однако пользователи open-source Strands Python SDK (лежащего в основе AgentCore) остались уязвимыми, если не реализовали собственные проверки авторизации .
Google (CVE-2026-18236, CVSS 9.3): Исправление выпущено для open-source Agent Development Kit для Python в версии 2.5.0. Пользователям необходимо обновить пакет ADK Python до последней версии .
Vercel (CVE-2026-64650/64651, CVSS 6.3): Исправлены пакеты AI SDK harness. Пользователям необходимо обновить зависимости Vercel AI SDK до исправленных версий: @ai-sdk/harness-codex 1.0.29 и @ai-sdk/harness-opencode 1.0.28 .
Что это значит для безопасности AI-агентов
CoreBreak — это не единичная ошибка в коде, а проблема доверия на уровне архитектуры: все три фреймворка для агентов неявно доверяли данным в формате вызова инструмента, поступающим на уровень выполнения, считая, что они были авторизованы предыдущим обращением к модели. Ни один фреймворк не проверял эту авторизацию независимо . Этот паттерн означает, что даже если обучение безопасности модели идеально, злоумышленник, способный внедрить данные в конвейер вызовов — например, через скомпрометированный вышестоящий сервис или подделанный API-запрос — может выполнять инструменты, не запуская защитные механизмы модели.
Проблема с Strands SDK особенно показательна: она демонстрирует, что облачные провайдеры могут исправлять свои управляемые сервисы, оставляя те же самые уязвимости открытыми в open-source компонентах, которые разработчики используют для самостоятельного развертывания. Для организаций, строящих собственную инфраструктуру AI-агентов на основе Strands, ответственность за логику авторизации полностью ложится на команду разработчиков.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
Все три компании выпустили исправления для своих управляемых или открытых продуктов до обнародования информации 6 августа. Однако на этом история не заканчивается: AWS отказалась исправлять аналогичный вектор атаки в open-source Python SDK Strands, который лежит в основе AgentCore, оставив пользователей локальных развертываний без защиты .
Затронутые продукты, CVE и оценки CVSS
Вендор
Затронутый компонент
CVE
CVSS v4.0
Исправлено?
AWS
Amazon Bedrock AgentCore — InvokeHarness API
CVE-2026-18830
8.6 (Высокий)
✅ Да (управляемый сервис)
Google
Agent Development Kit (ADK) для Python
CVE-2026-18236
9.3 (Критический)
✅ Да (ADK 2.5.0)
Vercel
Пакеты AI SDK harness (Codex и OpenCode)
CVE-2026-64650 / CVE-2026-64651
6.3 (Средний)
✅ Да (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
Незакрытая уязвимость в open-source: Strands Python SDK
Strands Python SDK — это open-source фреймворк, на котором построен Amazon Bedrock AgentCore. AWS исправила проблему с пропуском модели в своем управляемом сервисе Bedrock AgentCore (CVE-2026-18830), но отказалась патчить ту же самую уязвимость в open-source Strands Python SDK.
Что это: Код, который позволяет использовать паттерн атаки CoreBreak — запуск инструментов агента без обращения к модели — в самостоятельно развернутых, неуправляемых средах .
CVE присвоен? Нет. AWS не присвоила CVE и не выпустила бюллетень безопасности для этого компонента SDK.
Позиция AWS: Компания считает SDK инструментом для разработчиков и ожидает, что пользователи будут самостоятельно реализовывать проверки авторизации при его использовании вне управляемого сервиса Bedrock .
Риск: Любое приложение, построенное непосредственно на Strands Python SDK (без использования управляемого API Bedrock AgentCore), остается уязвимым для обхода вызова инструментов, если разработчик самостоятельно не добавит логику авторизации на уровне модели.
График выпуска патчей и необходимые действия пользователей
AWS (CVE-2026-18830, CVSS 8.6): Исправление внесено на стороне сервера управляемого сервиса Bedrock AgentCore. Пользователям управляемого сервиса не требовалось никаких действий. Однако пользователи open-source Strands Python SDK (лежащего в основе AgentCore) остались уязвимыми, если не реализовали собственные проверки авторизации .
Google (CVE-2026-18236, CVSS 9.3): Исправление выпущено для open-source Agent Development Kit для Python в версии 2.5.0. Пользователям необходимо обновить пакет ADK Python до последней версии .
Vercel (CVE-2026-64650/64651, CVSS 6.3): Исправлены пакеты AI SDK harness. Пользователям необходимо обновить зависимости Vercel AI SDK до исправленных версий: @ai-sdk/harness-codex 1.0.29 и @ai-sdk/harness-opencode 1.0.28 .
Что это значит для безопасности AI-агентов
CoreBreak — это не единичная ошибка в коде, а проблема доверия на уровне архитектуры: все три фреймворка для агентов неявно доверяли данным в формате вызова инструмента, поступающим на уровень выполнения, считая, что они были авторизованы предыдущим обращением к модели. Ни один фреймворк не проверял эту авторизацию независимо . Этот паттерн означает, что даже если обучение безопасности модели идеально, злоумышленник, способный внедрить данные в конвейер вызовов — например, через скомпрометированный вышестоящий сервис или подделанный API-запрос — может выполнять инструменты, не запуская защитные механизмы модели.
Проблема с Strands SDK особенно показательна: она демонстрирует, что облачные провайдеры могут исправлять свои управляемые сервисы, оставляя те же самые уязвимости открытыми в open-source компонентах, которые разработчики используют для самостоятельного развертывания. Для организаций, строящих собственную инфраструктуру AI-агентов на основе Strands, ответственность за логику авторизации полностью ложится на команду разработчиков.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
