CoreBreak: Критичні вразливості AI-агентів у AWS, Google та Vercel
CoreBreak — це міжплатформний шаблон атак, представлений на Black Hat USA 2026 дослідниками Hedi Ingber та Aviyam Ivgi з компанії Stealth. Найсерйознішу вразливість виявлено в Google ADK (CVSS 9.3, критичний рівень); AWS виправила керований сервіс, але самостійні розгортання на Strands SDK залишаються вразливими без...
ОпублікувавВідредаговано за допомогою DeepSeek-V4-FlashЗображення створено за допомогою GPT Image 1.5
CoreBreak — це міжплатформний шаблон атак, представлений на Black Hat USA 2026 дослідниками Hedi Ingber та Aviyam Ivgi з компанії Stealth.
Найсерйознішу вразливість виявлено в Google ADK (CVSS 9.3, критичний рівень); AWS виправила керований сервіс, але самостійні розгортання на Strands SDK залишаються вразливими без додаткової логіки авторизації.
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
На конференції Black Hat USA 2026 у Лас-Вегасі дослідники безпеки Hedi Ingber та Aviyam Ivgi з фірми Stealth представили міжплатформний шаблон атак, який отримав назву CoreBreak. Суть вразливості: рівні виконання інструментів в Amazon Bedrock AgentCore, Google Agent Development Kit (ADK) та Vercel AI SDK можна було обманом змусити запустити інструмент агента без жодного легітимного звернення до моделі — тобто системні підказки, фільтри вмісту та навчання відмови були повністю обійдені .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CoreBreak: Критичні вразливості AI-агентів у AWS, Google та Vercel"?
CoreBreak — це міжплатформний шаблон атак, представлений на Black Hat USA 2026 дослідниками Hedi Ingber та Aviyam Ivgi з компанії Stealth.
What are the key points to validate first?
CoreBreak — це міжплатформний шаблон атак, представлений на Black Hat USA 2026 дослідниками Hedi Ingber та Aviyam Ivgi з компанії Stealth. Найсерйознішу вразливість виявлено в Google ADK (CVSS 9.3, критичний рівень); AWS виправила керований сервіс, але самостійні розгортання на Strands SDK залишаються вразливими без додаткової логіки авторизації.
CoreBreak: Критичні вразливості AI-агентів у AWS, Google та Vercel
CoreBreak — це міжплатформний шаблон атак, представлений на Black Hat USA 2026 дослідниками Hedi Ingber та Aviyam Ivgi з компанії Stealth. Найсерйознішу вразливість виявлено в Google ADK (CVSS 9.3, критичний рівень); AWS виправила керований сервіс, але самостійні розгортання на Strands SDK залишаються вразливими без...
ОпублікувавВідредаговано за допомогою DeepSeek-V4-FlashЗображення створено за допомогою GPT Image 1.5
CoreBreak — це міжплатформний шаблон атак, представлений на Black Hat USA 2026 дослідниками Hedi Ingber та Aviyam Ivgi з компанії Stealth.
Найсерйознішу вразливість виявлено в Google ADK (CVSS 9.3, критичний рівень); AWS виправила керований сервіс, але самостійні розгортання на Strands SDK залишаються вразливими без додаткової логіки авторизації.
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
На конференції Black Hat USA 2026 у Лас-Вегасі дослідники безпеки Hedi Ingber та Aviyam Ivgi з фірми Stealth представили міжплатформний шаблон атак, який отримав назву CoreBreak. Суть вразливості: рівні виконання інструментів в Amazon Bedrock AgentCore, Google Agent Development Kit (ADK) та Vercel AI SDK можна було обманом змусити запустити інструмент агента без жодного легітимного звернення до моделі — тобто системні підказки, фільтри вмісту та навчання відмови були повністю обійдені .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CoreBreak: Критичні вразливості AI-агентів у AWS, Google та Vercel"?
CoreBreak — це міжплатформний шаблон атак, представлений на Black Hat USA 2026 дослідниками Hedi Ingber та Aviyam Ivgi з компанії Stealth.
What are the key points to validate first?
CoreBreak — це міжплатформний шаблон атак, представлений на Black Hat USA 2026 дослідниками Hedi Ingber та Aviyam Ivgi з компанії Stealth. Найсерйознішу вразливість виявлено в Google ADK (CVSS 9.3, критичний рівень); AWS виправила керований сервіс, але самостійні розгортання на Strands SDK залишаються вразливими без додаткової логіки авторизації.
Усі три постачальники виправили вразливості у своїх керованих або відкритих продуктах до оголошення 6 серпня. Однак на цьому історія не закінчується: AWS відмовилася виправляти той самий вектор атаки у відкритому Python SDK Strands, який лежить в основі AgentCore, залишаючи користувачів самостійних розгортань вразливими .
Уражені продукти, CVE та оцінки CVSS
Постачальник
Уражений компонент
CVE
Оцінка CVSS v4.0
Виправлено?
AWS
Amazon Bedrock AgentCore — InvokeHarness API
CVE-2026-18830
8.6 (Високий)
✅ Так (керований сервіс)
Google
Agent Development Kit (ADK) для Python
CVE-2026-18236
9.3 (Критичний)
✅ Так (ADK 2.5.0)
Vercel
Пакети AI SDK harness (Codex та OpenCode)
CVE-2026-64650 / CVE-2026-64651
6.3 (Середній)
✅ Так (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
Незакрита вразливість з відкритим кодом: Strands Python SDK
Strands Python SDK — це фреймворк з відкритим кодом, який лежить в основі Amazon Bedrock AgentCore. AWS виправила шлях пропуску моделі у своєму керованому сервісі Bedrock AgentCore (CVE-2026-18830), але відмовилася виправляти ту саму вразливість у відкритому Strands Python SDK.
Що це таке: Шлях коду, який дозволяє обійти модель і застосувати той самий шаблон атаки CoreBreak — викликати інструменти агента без легітимного звернення до моделі — у самостійних некерованих середовищах .
Чи призначено CVE? Ні. AWS не призначила CVE та не випустила бюлетень безпеки для цього шляху коду в SDK.
Аргументація AWS: Компанія вважає SDK інструментом для розробників і очікує, що користувачі самостійно впроваджуватимуть власні перевірки авторизації під час використання SDK поза керованим сервісом Bedrock .
Ризик: Будь-який додаток, побудований безпосередньо на Strands Python SDK (без використання керованого API Bedrock AgentCore), залишається вразливим до обходу виклику інструментів, якщо розробник самостійно не додасть логіку авторизації звернень до моделі.
Графік виправлень та необхідні дії користувачів
AWS (CVE-2026-18830, CVSS 8.6): Виправлено керований сервіс Bedrock AgentCore на стороні сервера. Користувачам керованого сервісу не потрібно було жодних дій. Однак користувачі відкритого Strands Python SDK (який лежить в основі AgentCore) залишалися вразливими, якщо не впроваджували власні перевірки авторизації .
Google (CVE-2026-18236, CVSS 9.3): Виправлено відкритий Agent Development Kit для Python у версії 2.5.0. Користувачі повинні оновити свій пакет ADK Python до останньої версії .
Vercel (CVE-2026-64650/64651, CVSS 6.3): Виправлено пакети AI SDK harness. Користувачі повинні оновити свої залежності Vercel AI SDK до виправлених версій: @ai-sdk/harness-codex 1.0.29 та @ai-sdk/harness-opencode 1.0.28 .
Що це означає для безпеки AI-агентів
CoreBreak — це не просто програмна помилка, а помилка довіри на рівні архітектури: всі три фреймворки агентів неявно довіряли тому, що дані у форматі виклику інструменту, які надходять на рівень виконання, були авторизовані попереднім зверненням до моделі. Жоден фреймворк не перевіряв цю авторизацію незалежно . Це означає, що навіть якщо навчання безпеки моделі ідеальне, зловмисник, який може впровадити дані в конвеєр виклику — наприклад, через скомпрометований вищестоящий сервіс або сфабрикований API-запит — може виконувати інструменти, ніколи не запускаючи захисні механізми моделі.
Прогалина в Strands SDK особливо примітна, оскільки вона демонструє, що хмарні постачальники можуть виправляти свої керовані сервіси, залишаючи ту саму вразливість відкритою у компонентах з відкритим кодом, які розробники використовують для самостійних розгортань. Для організацій, які будують власну інфраструктуру AI-агентів на основі Strands, відповідальність за логіку авторизації повністю лягає на команду розробників.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
Усі три постачальники виправили вразливості у своїх керованих або відкритих продуктах до оголошення 6 серпня. Однак на цьому історія не закінчується: AWS відмовилася виправляти той самий вектор атаки у відкритому Python SDK Strands, який лежить в основі AgentCore, залишаючи користувачів самостійних розгортань вразливими .
Уражені продукти, CVE та оцінки CVSS
Постачальник
Уражений компонент
CVE
Оцінка CVSS v4.0
Виправлено?
AWS
Amazon Bedrock AgentCore — InvokeHarness API
CVE-2026-18830
8.6 (Високий)
✅ Так (керований сервіс)
Google
Agent Development Kit (ADK) для Python
CVE-2026-18236
9.3 (Критичний)
✅ Так (ADK 2.5.0)
Vercel
Пакети AI SDK harness (Codex та OpenCode)
CVE-2026-64650 / CVE-2026-64651
6.3 (Середній)
✅ Так (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
Незакрита вразливість з відкритим кодом: Strands Python SDK
Strands Python SDK — це фреймворк з відкритим кодом, який лежить в основі Amazon Bedrock AgentCore. AWS виправила шлях пропуску моделі у своєму керованому сервісі Bedrock AgentCore (CVE-2026-18830), але відмовилася виправляти ту саму вразливість у відкритому Strands Python SDK.
Що це таке: Шлях коду, який дозволяє обійти модель і застосувати той самий шаблон атаки CoreBreak — викликати інструменти агента без легітимного звернення до моделі — у самостійних некерованих середовищах .
Чи призначено CVE? Ні. AWS не призначила CVE та не випустила бюлетень безпеки для цього шляху коду в SDK.
Аргументація AWS: Компанія вважає SDK інструментом для розробників і очікує, що користувачі самостійно впроваджуватимуть власні перевірки авторизації під час використання SDK поза керованим сервісом Bedrock .
Ризик: Будь-який додаток, побудований безпосередньо на Strands Python SDK (без використання керованого API Bedrock AgentCore), залишається вразливим до обходу виклику інструментів, якщо розробник самостійно не додасть логіку авторизації звернень до моделі.
Графік виправлень та необхідні дії користувачів
AWS (CVE-2026-18830, CVSS 8.6): Виправлено керований сервіс Bedrock AgentCore на стороні сервера. Користувачам керованого сервісу не потрібно було жодних дій. Однак користувачі відкритого Strands Python SDK (який лежить в основі AgentCore) залишалися вразливими, якщо не впроваджували власні перевірки авторизації .
Google (CVE-2026-18236, CVSS 9.3): Виправлено відкритий Agent Development Kit для Python у версії 2.5.0. Користувачі повинні оновити свій пакет ADK Python до останньої версії .
Vercel (CVE-2026-64650/64651, CVSS 6.3): Виправлено пакети AI SDK harness. Користувачі повинні оновити свої залежності Vercel AI SDK до виправлених версій: @ai-sdk/harness-codex 1.0.29 та @ai-sdk/harness-opencode 1.0.28 .
Що це означає для безпеки AI-агентів
CoreBreak — це не просто програмна помилка, а помилка довіри на рівні архітектури: всі три фреймворки агентів неявно довіряли тому, що дані у форматі виклику інструменту, які надходять на рівень виконання, були авторизовані попереднім зверненням до моделі. Жоден фреймворк не перевіряв цю авторизацію незалежно . Це означає, що навіть якщо навчання безпеки моделі ідеальне, зловмисник, який може впровадити дані в конвеєр виклику — наприклад, через скомпрометований вищестоящий сервіс або сфабрикований API-запит — може виконувати інструменти, ніколи не запускаючи захисні механізми моделі.
Прогалина в Strands SDK особливо примітна, оскільки вона демонструє, що хмарні постачальники можуть виправляти свої керовані сервіси, залишаючи ту саму вразливість відкритою у компонентах з відкритим кодом, які розробники використовують для самостійних розгортань. Для організацій, які будують власну інфраструктуру AI-агентів на основі Strands, відповідальність за логіку авторизації повністю лягає на команду розробників.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
