CoreBreak漏洞全解析：AI Agent框架让攻击者绕过模型，直接调用工具

在2026年拉斯维加斯Black Hat USA大会上，安全公司Stealth的研究员Hedi Ingber和Aviyam Ivgi披露了一种名为CoreBreak的跨平台攻击模式。其核心发现是：在Amazon Bedrock AgentCore、Google Agent Development Kit (ADK)和Vercel AI SDK这些平台中，工具执行层都可以被欺骗，在模型从未进行过合法推理的情况下直接运行Agent工具——这意味着系统提示词、内容过滤器和拒绝训练机制被完全绕过。

三大供应商均在8月6日披露之前完成了漏洞修复。但故事并未就此结束：AWS拒绝修补其AgentCore底层开源Strands Python SDK中的同款攻击路径，导致自托管用户仍面临风险。

受影响产品、CVE编号及CVSS评分

供应商	受影响组件	CVE编号	CVSS v4.0评分	修复状态
AWS	Amazon Bedrock AgentCore — InvokeHarness API	CVE-2026-18830	8.6 (高危)	✅ 已修复 (托管服务)
Google	Agent Development Kit (ADK) for Python	CVE-2026-18236	9.3 (严重)	✅ 已修复 (ADK 2.5.0)
Vercel	AI SDK harness packages (Codex & OpenCode)	CVE-2026-64650 / CVE-2026-64651	6.3 (中危)	✅ 已修复 (@ai-sdk/harness-codex 1.0.29, @ai-sdk/harness-opencode 1.0.28)

未修复的开源漏洞：Strands Python SDK

Strands Python SDK是Amazon Bedrock AgentCore所依赖的开源框架。AWS在其托管的Bedrock AgentCore服务中修复了跳过模型的攻击路径（CVE-2026-18830），但拒绝在开源Strands Python SDK中修复同样的漏洞。

• 漏洞本质： SDK中存在一条“跳过模型”代码路径，允许与CoreBreak相同的攻击模式——在不经过合法模型推理的情况下调用Agent工具——在自托管、非托管部署场景中得逞。
• 是否分配CVE？ 否。AWS未为此SDK代码路径分配CVE或发布安全公告。
• AWS官方解释： 公司认为该SDK属于开发者工具，当用户在托管Bedrock服务之外使用时，应自行实现授权检查。
• 风险： 任何直接基于Strands Python SDK构建的应用（未经过托管Bedrock AgentCore API）仍然存在工具调用绕过漏洞，除非开发者自主添加模型推理授权逻辑。

补丁时间线与用户操作指南

• AWS (CVE-2026-18830, CVSS 8.6)： 已在服务端修复托管Bedrock AgentCore服务。托管服务用户无需任何操作。但使用底层开源Strands Python SDK的用户仍然面临风险，除非自行实现授权检查。
• Google (CVE-2026-18236, CVSS 9.3)： 已在Python Agent Development Kit 2.5.0版本中修复。用户必须更新ADK Python包至最新版本。
• Vercel (CVE-2026-64650/64651, CVSS 6.3)： 已修复AI SDK harness包。用户必须更新Vercel AI SDK依赖至修复版本：@ai-sdk/harness-codex 1.0.29和@ai-sdk/harness-opencode 1.0.28。

这对AI Agent安全意味着什么

CoreBreak并非单一的软件漏洞，而是一个设计层面的信任假设问题：所有三个Agent框架都隐式信任了到达执行层的工具调用数据——它们假定这些数据已经过先前模型推理的授权。没有任何框架独立验证过该授权。这意味着，即使模型的安全训练完美无缺，攻击者只要能够向调用管道注入数据（例如通过被入侵的上游服务或精心构造的API请求），就可以在不触发模型任何防护机制的情况下执行工具。

Strands SDK的缺口尤其值得关注，因为它展示了云厂商可能会修复它们的托管服务，却让开发者用于自托管部署的开源组件中保留同样的漏洞。对于在Strands基础上构建自定义AI Agent基础设施的组织来说，授权逻辑的责任完全落在了开发团队肩上。