CoreBreak: Fünf CVEs bei AWS, Google und Vercel hebeln KI-Agent-Kontrollen aus

Auf der Black Hat USA 2026 haben Sicherheitsforscher eine neue Angriffsklasse namens CoreBreak vorgestellt, die eine zentrale Sicherheitsannahme bei KI-Agenten-Infrastruktur aushebelt: dass Kontrollen im Modell selbst ausreichen, um festzulegen, welche Werkzeuge ein Agent ausführen darf. Betroffen waren produktive Infrastrukturen von Amazon Web Services, Google und Vercel, insgesamt fünf CVEs über drei unterschiedliche Angriffspfade. Vier Lücken sind bereits gepatcht, eine im Open-Source-SDK Strands bleibt als bekannter Restrisikopfad bestehen.

Was ist passiert?

Die Forscher Hedi Ingber und Aviyam Ivgi zeigten am 6. August 2026, dass die Ausführungsschicht mehrerer Agent-Frameworks Daten ausführte, die wie ein vom Modell erzeugter Tool-Aufruf aussahen, ohne zu prüfen, ob tatsächlich ein legitimer Modell-Durchlauf diesen Aufruf erzeugt hatte. Ein Angreifer mit gültigen API-Zugangsdaten konnte damit beliebige im Agenten konfigurierte Werkzeuge auslösen, unabhängig davon, was das Modell tatsächlich entschieden hatte.

Bei Amazon lag die Schwachstelle in der InvokeHarness-API von Amazon Bedrock AgentCore, dem verwalteten Dienst zum Betrieb produktiver KI-Agenten. Die Lücke wurde als CVE-2026-18830 mit einem CVSS-4.0-Wert von 8.6 eingestuft und als fehlerhafte Eingabevalidierung (CWE-1287) klassifiziert. Ein authentifizierter Angreifer konnte einen Tool-Use-Block in die letzte Nachricht einer InvokeHarness-Anfrage einfügen, woraufhin die Event-Loop das benannte Werkzeug direkt ausführte, ohne dass ein Modellaufruf dazwischenlag.

Wer ist betroffen?

Betroffen waren Produktionsinfrastrukturen von drei großen Anbietern:

1. Amazon Bedrock AgentCore über die InvokeHarness-API (CVE-2026-18830)
2. Google ADK für Python
3. Vercel AI SDK

AWS hat die Server-seitige Validierung bereits am 31. Juli 2026 automatisch für den verwalteten Dienst nachgerüstet, ohne dass Kunden selbst tätig werden mussten. Nicht durch diesen Fix abgedeckt ist ein vergleichbarer modell-übergehender Codepfad im quelloffenen Strands Python SDK, auf dem die AgentCore-Harness aufbaut. AWS hat diesen Pfad nicht per Codeänderung geschlossen. Unternehmen, die eigene Agenten direkt auf Basis des Strands SDK betreiben, statt den verwalteten AgentCore-Dienst zu nutzen, müssen die Absicherung selbst vornehmen.

Nicht betroffen sind Nutzer, die ausschließlich den verwalteten AgentCore-Dienst ohne eigene Strands-Integration verwenden, da der Fix dort automatisch griff.

Wie kritisch ist das?

Die AWS-Lücke CVE-2026-18830 erreicht mit CVSS 8.6 einen hohen Schweregrad. Entscheidend ist der Angriffspfad: Kein Prompt Injection, keine Modellmanipulation war nötig, ein authentifizierter Aufrufer konnte die Kontrolle direkt an der Infrastrukturschicht umgehen. Das betrifft alle Sicherheitsmaßnahmen, die ausschließlich auf Modellebene ansetzen (Content-Filter, Ablehnungstraining, eingeschränkte Tool-Listen, Freigabe durch Menschen), da diese bei CoreBreak schlicht übersprungen wurden. Es handelt sich nicht um Remote Code Execution im klassischen Sinn, sondern um eine Autorisierungslücke, die beliebige konfigurierte Werkzeuge auslösen kann.

Was sollten Admins jetzt tun?

1. Prüfen, ob im eigenen Unternehmen Amazon Bedrock AgentCore, Google ADK oder Vercel AI SDK produktiv für KI-Agenten eingesetzt werden
2. Bei AgentCore-Nutzung: Der automatische Fix greift bereits, trotzdem den Patchstand im AWS-Sicherheitshinweis gegenprüfen
3. Bei direkter Nutzung des Strands Python SDK: Eigene Autorisierungsprüfung vor jedem Tool-Aufruf implementieren, da der Modell-übergehende Pfad weiterhin offen ist
4. Bei Google ADK und Vercel AI SDK: Aktuelle Patchstände gemäß Hersteller-Advisories verifizieren
5. Grundsätzlich prüfen, ob eigene Agent-Deployments Autorisierung ausschließlich im Modell abbilden, und diese Annahme durch eine zusätzliche Kontrolle auf Infrastrukturebene absichern
6. API-Zugangsdaten für Agent-Endpunkte auf minimale Berechtigungen (Least Privilege) prüfen, da CoreBreak authentifizierten Zugriff voraussetzt

Einordnung für Unternehmen

Für kleine und mittlere Unternehmen, die KI-Agenten über Cloud-Anbieter wie AWS, Google oder Vercel produktiv einsetzen, zeigt CoreBreak ein grundsätzliches Architekturproblem: Sicherheitskontrollen, die nur im Sprachmodell verankert sind, reichen nicht aus, wenn die Infrastrukturschicht sie umgehen kann. Wer bereits Agenten in Produktion hat, sollte prüfen, welches Framework im Einsatz ist und ob der jeweilige Fix bereits greift oder eigene Maßnahmen nötig sind.

Passende Anleitungen auf S-EDV

1. KI-Coding-Agenten: Malware und Prompt-Injection als Risiko – ergänzende Einordnung von Angriffsvektoren bei KI-Agenten-Deployments.
2. LiteLLM CVE-2026-42271: RCE in KI-Gateway, CISA KEV – verwandtes Thema zu Sicherheitslücken in KI-Infrastruktur-Komponenten.

Quellen

1. The Hacker News: AWS, Google, and Vercel Agent Flaws Let Attackers Trigger Tools
2. Tech Times: AWS Fixed Its Managed Agent Service but Left Strands Python SDK Unpatched