CoreBreak: Lỗ hổng AI Agent cho phép tấn công vượt qua mọi rào cản bảo mật tại AWS, Google và Vercel
CoreBreak là mô hình tấn công đa nền tảng được các nhà nghiên cứu Hedi Ingber và Aviyam Ivgi của hãng bảo mật Stealth tiết lộ tại Black Hat USA 2026. Lỗ hổng nghiêm trọng nhất nằm ở Google ADK với điểm CVSS 9.3 (Critical); AWS đã vá dịch vụ được quản lý, nhưng các triển khai tự lưu trữ sử dụng Strands SDK vẫn có ngu...
Đăng bởiBiên tập bằng DeepSeek-V4-FlashHình ảnh được tạo bằng GPT Image 1.5
CoreBreak là mô hình tấn công đa nền tảng được các nhà nghiên cứu Hedi Ingber và Aviyam Ivgi của hãng bảo mật Stealth tiết lộ tại Black Hat USA 2026.
Lỗ hổng nghiêm trọng nhất nằm ở Google ADK với điểm CVSS 9.3 (Critical); AWS đã vá dịch vụ được quản lý, nhưng các triển khai tự lưu trữ sử dụng Strands SDK vẫn có nguy cơ cao.
Google và Vercel yêu cầu người dùng tự cập nhật thư viện; AWS chỉ vá phía dịch vụ, không vá lỗi trong Strands SDK nguồn mở.
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
Prompt AI
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
Tại hội nghị Black Hat USA 2026 ở Las Vegas, hai nhà nghiên cứu bảo mật Hedi Ingber và Aviyam Ivgi của công ty Stealth đã công bố một mô hình tấn công đa nền tảng mang tên CoreBreak. Phát hiện cốt lõi: các lớp thực thi công cụ trong Amazon Bedrock AgentCore, Google Agent Development Kit (ADK) và Vercel AI SDK harness đều có thể bị lừa để chạy một công cụ agent mà không cần một lượt xử lý hợp lệ từ model — đồng nghĩa với việc các system prompt, bộ lọc nội dung (content filters) và quá trình huấn luyện từ chối (refusal training) hoàn toàn bị vô hiệu hóa .
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Câu trả lời ngắn gọn cho "CoreBreak: Lỗ hổng AI Agent cho phép tấn công vượt qua mọi rào cản bảo mật tại AWS, Google và Vercel" là gì?
CoreBreak là mô hình tấn công đa nền tảng được các nhà nghiên cứu Hedi Ingber và Aviyam Ivgi của hãng bảo mật Stealth tiết lộ tại Black Hat USA 2026.
Những điểm chính cần xác nhận đầu tiên là gì?
CoreBreak là mô hình tấn công đa nền tảng được các nhà nghiên cứu Hedi Ingber và Aviyam Ivgi của hãng bảo mật Stealth tiết lộ tại Black Hat USA 2026. Lỗ hổng nghiêm trọng nhất nằm ở Google ADK với điểm CVSS 9.3 (Critical); AWS đã vá dịch vụ được quản lý, nhưng các triển khai tự lưu trữ sử dụng Strands SDK vẫn có nguy cơ cao.
Tôi nên làm gì tiếp theo trong thực tế?
Google và Vercel yêu cầu người dùng tự cập nhật thư viện; AWS chỉ vá phía dịch vụ, không vá lỗi trong Strands SDK nguồn mở.
CoreBreak: Lỗ hổng AI Agent cho phép tấn công vượt qua mọi rào cản bảo mật tại AWS, Google và Vercel
CoreBreak là mô hình tấn công đa nền tảng được các nhà nghiên cứu Hedi Ingber và Aviyam Ivgi của hãng bảo mật Stealth tiết lộ tại Black Hat USA 2026. Lỗ hổng nghiêm trọng nhất nằm ở Google ADK với điểm CVSS 9.3 (Critical); AWS đã vá dịch vụ được quản lý, nhưng các triển khai tự lưu trữ sử dụng Strands SDK vẫn có ngu...
Đăng bởiBiên tập bằng DeepSeek-V4-FlashHình ảnh được tạo bằng GPT Image 1.5
CoreBreak là mô hình tấn công đa nền tảng được các nhà nghiên cứu Hedi Ingber và Aviyam Ivgi của hãng bảo mật Stealth tiết lộ tại Black Hat USA 2026.
Lỗ hổng nghiêm trọng nhất nằm ở Google ADK với điểm CVSS 9.3 (Critical); AWS đã vá dịch vụ được quản lý, nhưng các triển khai tự lưu trữ sử dụng Strands SDK vẫn có nguy cơ cao.
Google và Vercel yêu cầu người dùng tự cập nhật thư viện; AWS chỉ vá phía dịch vụ, không vá lỗi trong Strands SDK nguồn mở.
What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web ServiCoreBreak attack pattern illustration — AI-generated
Prompt AI
Create a landscape editorial hero image for this Studio Global article: What critical AI agent security flaws — collectively called "CoreBreak" and disclosed at Black Hat USA 2026 — were found in Amazon Web Servi. Article summary: Here is the full breakdown of the CoreBreak disclosures at Black Hat USA 2026.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evid
openai.com
Tại hội nghị Black Hat USA 2026 ở Las Vegas, hai nhà nghiên cứu bảo mật Hedi Ingber và Aviyam Ivgi của công ty Stealth đã công bố một mô hình tấn công đa nền tảng mang tên CoreBreak. Phát hiện cốt lõi: các lớp thực thi công cụ trong Amazon Bedrock AgentCore, Google Agent Development Kit (ADK) và Vercel AI SDK harness đều có thể bị lừa để chạy một công cụ agent mà không cần một lượt xử lý hợp lệ từ model — đồng nghĩa với việc các system prompt, bộ lọc nội dung (content filters) và quá trình huấn luyện từ chối (refusal training) hoàn toàn bị vô hiệu hóa .
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Câu trả lời ngắn gọn cho "CoreBreak: Lỗ hổng AI Agent cho phép tấn công vượt qua mọi rào cản bảo mật tại AWS, Google và Vercel" là gì?
CoreBreak là mô hình tấn công đa nền tảng được các nhà nghiên cứu Hedi Ingber và Aviyam Ivgi của hãng bảo mật Stealth tiết lộ tại Black Hat USA 2026.
Những điểm chính cần xác nhận đầu tiên là gì?
CoreBreak là mô hình tấn công đa nền tảng được các nhà nghiên cứu Hedi Ingber và Aviyam Ivgi của hãng bảo mật Stealth tiết lộ tại Black Hat USA 2026. Lỗ hổng nghiêm trọng nhất nằm ở Google ADK với điểm CVSS 9.3 (Critical); AWS đã vá dịch vụ được quản lý, nhưng các triển khai tự lưu trữ sử dụng Strands SDK vẫn có nguy cơ cao.
Tôi nên làm gì tiếp theo trong thực tế?
Google và Vercel yêu cầu người dùng tự cập nhật thư viện; AWS chỉ vá phía dịch vụ, không vá lỗi trong Strands SDK nguồn mở.
Cả ba nhà cung cấp đều đã vá các lỗ hổng trong sản phẩm được quản lý hoặc mã nguồn mở của họ trước ngày 6 tháng 8 năm 2026. Tuy nhiên, câu chuyện chưa dừng lại ở đó: AWS đã từ chối vá cùng một đường tấn công trong SDK Python Strands nguồn mở, vốn là nền tảng của AgentCore, khiến người dùng tự lưu trữ vẫn gặp rủi ro .
Sản Phẩm Bị Ảnh Hưởng, CVE và Điểm CVSS
Nhà Cung Cấp
Thành Phần Bị Ảnh Hưởng
Mã CVE
Điểm CVSS v4.0
Đã Vá?
AWS
Amazon Bedrock AgentCore — API InvokeHarness
CVE-2026-18830
8.6 (Cao)
✅ Có (dịch vụ được quản lý)
Google
Agent Development Kit (ADK) cho Python
CVE-2026-18236
9.3 (Nghiêm trọng)
✅ Có (ADK 2.5.0)
Vercel
Các gói harness AI SDK (Codex & OpenCode)
CVE-2026-64650 / CVE-2026-64651
6.3 (Trung bình)
✅ Có (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
Lỗ Hổng Nguồn Mở Chưa Được Vá: Strands Python SDK
Strands Python SDK là framework nguồn mở làm nền tảng cho Amazon Bedrock AgentCore. AWS đã vá lỗi bỏ qua model trong dịch vụ được quản lý Bedrock AgentCore (CVE-2026-18830) nhưng từ chối vá cùng một lỗ hổng trong SDK Python Strands nguồn mở.
Bản chất: Một đường dẫn mã "bỏ qua model" cho phép mô hình tấn công CoreBreak — kích hoạt công cụ agent mà không cần lượt xử lý hợp lệ từ model — thành công trong các triển khai tự lưu trữ, không được quản lý .
CVE được gán? Không. AWS không gán CVE hay phát hành cảnh báo bảo mật cho đường dẫn mã SDK này.
Lý do của AWS: Công ty coi SDK là một công cụ dành cho nhà phát triển và kỳ vọng người dùng cuối sẽ tự triển khai các kiểm tra ủy quyền khi sử dụng nó bên ngoài dịch vụ Bedrock được quản lý .
Rủi ro: Bất kỳ ứng dụng nào được xây dựng trực tiếp trên Strands Python SDK (mà không thông qua API Bedrock AgentCore được quản lý) vẫn dễ bị tấn công vòng qua lệnh gọi công cụ trừ khi nhà phát triển tự thêm logic ủy quyền lượt xử lý model.
Lịch Trình Vá Lỗi và Hành Động Yêu Cầu Từ Người Dùng
AWS (CVE-2026-18830, CVSS 8.6): Đã vá phía máy chủ cho dịch vụ Bedrock AgentCore được quản lý. Người dùng dịch vụ được quản lý không cần thực hiện hành động nào. Tuy nhiên, người dùng SDK Python Strands nguồn mở (nền tảng của AgentCore) vẫn gặp rủi ro trừ khi họ tự triển khai kiểm tra ủy quyền .
Google (CVE-2026-18236, CVSS 9.3): Đã vá Agent Development Kit nguồn mở cho Python trong phiên bản 2.5.0. Người dùng phải cập nhật gói ADK Python lên phiên bản mới nhất .
Vercel (CVE-2026-64650/64651, CVSS 6.3): Đã vá các gói harness AI SDK. Người dùng phải cập nhật các phụ thuộc Vercel AI SDK lên phiên bản đã vá: @ai-sdk/harness-codex 1.0.29 và @ai-sdk/harness-opencode 1.0.28 .
Ý Nghĩa Đối Với Bảo Mật AI Agent
CoreBreak không phải là một lỗi phần mềm đơn lẻ mà là một giả định tin cậy ở cấp độ thiết kế: cả ba framework agent đều ngầm tin rằng dữ liệu có dạng lệnh gọi công cụ đến lớp thực thi đã được một lượt xử lý model trước đó ủy quyền. Không có framework nào độc lập xác minh việc ủy quyền đó . Mô hình này có nghĩa là ngay cả khi quá trình huấn luyện an toàn của model là hoàn hảo, kẻ tấn công có thể chèn dữ liệu vào đường dẫn gọi — ví dụ, thông qua một dịch vụ thượng nguồn bị xâm phạm hoặc một yêu cầu API được chế tạo — và thực thi các công cụ mà không bao giờ kích hoạt các rào cản bảo vệ của model.
Khoảng trống của Strands SDK đặc biệt đáng chú ý vì nó cho thấy các nhà cung cấp dịch vụ đám mây có thể vá các dịch vụ được quản lý của họ trong khi vẫn để lại cùng một lỗ hổng trong các thành phần nguồn mở mà nhà phát triển sử dụng cho các triển khai tự lưu trữ. Đối với các tổ chức xây dựng cơ sở hạ tầng agent AI tùy chỉnh trên nền tảng Strands, trách nhiệm về logic ủy quyền hoàn toàn thuộc về nhóm phát triển.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
Cả ba nhà cung cấp đều đã vá các lỗ hổng trong sản phẩm được quản lý hoặc mã nguồn mở của họ trước ngày 6 tháng 8 năm 2026. Tuy nhiên, câu chuyện chưa dừng lại ở đó: AWS đã từ chối vá cùng một đường tấn công trong SDK Python Strands nguồn mở, vốn là nền tảng của AgentCore, khiến người dùng tự lưu trữ vẫn gặp rủi ro .
Sản Phẩm Bị Ảnh Hưởng, CVE và Điểm CVSS
Nhà Cung Cấp
Thành Phần Bị Ảnh Hưởng
Mã CVE
Điểm CVSS v4.0
Đã Vá?
AWS
Amazon Bedrock AgentCore — API InvokeHarness
CVE-2026-18830
8.6 (Cao)
✅ Có (dịch vụ được quản lý)
Google
Agent Development Kit (ADK) cho Python
CVE-2026-18236
9.3 (Nghiêm trọng)
✅ Có (ADK 2.5.0)
Vercel
Các gói harness AI SDK (Codex & OpenCode)
CVE-2026-64650 / CVE-2026-64651
6.3 (Trung bình)
✅ Có (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)
Lỗ Hổng Nguồn Mở Chưa Được Vá: Strands Python SDK
Strands Python SDK là framework nguồn mở làm nền tảng cho Amazon Bedrock AgentCore. AWS đã vá lỗi bỏ qua model trong dịch vụ được quản lý Bedrock AgentCore (CVE-2026-18830) nhưng từ chối vá cùng một lỗ hổng trong SDK Python Strands nguồn mở.
Bản chất: Một đường dẫn mã "bỏ qua model" cho phép mô hình tấn công CoreBreak — kích hoạt công cụ agent mà không cần lượt xử lý hợp lệ từ model — thành công trong các triển khai tự lưu trữ, không được quản lý .
CVE được gán? Không. AWS không gán CVE hay phát hành cảnh báo bảo mật cho đường dẫn mã SDK này.
Lý do của AWS: Công ty coi SDK là một công cụ dành cho nhà phát triển và kỳ vọng người dùng cuối sẽ tự triển khai các kiểm tra ủy quyền khi sử dụng nó bên ngoài dịch vụ Bedrock được quản lý .
Rủi ro: Bất kỳ ứng dụng nào được xây dựng trực tiếp trên Strands Python SDK (mà không thông qua API Bedrock AgentCore được quản lý) vẫn dễ bị tấn công vòng qua lệnh gọi công cụ trừ khi nhà phát triển tự thêm logic ủy quyền lượt xử lý model.
Lịch Trình Vá Lỗi và Hành Động Yêu Cầu Từ Người Dùng
AWS (CVE-2026-18830, CVSS 8.6): Đã vá phía máy chủ cho dịch vụ Bedrock AgentCore được quản lý. Người dùng dịch vụ được quản lý không cần thực hiện hành động nào. Tuy nhiên, người dùng SDK Python Strands nguồn mở (nền tảng của AgentCore) vẫn gặp rủi ro trừ khi họ tự triển khai kiểm tra ủy quyền .
Google (CVE-2026-18236, CVSS 9.3): Đã vá Agent Development Kit nguồn mở cho Python trong phiên bản 2.5.0. Người dùng phải cập nhật gói ADK Python lên phiên bản mới nhất .
Vercel (CVE-2026-64650/64651, CVSS 6.3): Đã vá các gói harness AI SDK. Người dùng phải cập nhật các phụ thuộc Vercel AI SDK lên phiên bản đã vá: @ai-sdk/harness-codex 1.0.29 và @ai-sdk/harness-opencode 1.0.28 .
Ý Nghĩa Đối Với Bảo Mật AI Agent
CoreBreak không phải là một lỗi phần mềm đơn lẻ mà là một giả định tin cậy ở cấp độ thiết kế: cả ba framework agent đều ngầm tin rằng dữ liệu có dạng lệnh gọi công cụ đến lớp thực thi đã được một lượt xử lý model trước đó ủy quyền. Không có framework nào độc lập xác minh việc ủy quyền đó . Mô hình này có nghĩa là ngay cả khi quá trình huấn luyện an toàn của model là hoàn hảo, kẻ tấn công có thể chèn dữ liệu vào đường dẫn gọi — ví dụ, thông qua một dịch vụ thượng nguồn bị xâm phạm hoặc một yêu cầu API được chế tạo — và thực thi các công cụ mà không bao giờ kích hoạt các rào cản bảo vệ của model.
Khoảng trống của Strands SDK đặc biệt đáng chú ý vì nó cho thấy các nhà cung cấp dịch vụ đám mây có thể vá các dịch vụ được quản lý của họ trong khi vẫn để lại cùng một lỗ hổng trong các thành phần nguồn mở mà nhà phát triển sử dụng cho các triển khai tự lưu trữ. Đối với các tổ chức xây dựng cơ sở hạ tầng agent AI tùy chỉnh trên nền tảng Strands, trách nhiệm về logic ủy quyền hoàn toàn thuộc về nhóm phát triển.
secnews.grAWS, Google, Vercel διόρθωσαν ευπάθειες AI Agents
