概要

セキュリティ研究者のHedi Ingber氏とAviyam Ivgi氏（Stealth共同創業者）は、Black Hat USA 2026において、AWS Bedrock AgentCore、Google ADK for Python、Vercel AI SDKという主要なAIエージェント基盤に共通する脆弱性パターン「CoreBreak」を公表した。この問題は、モデルの推論ターンを一切経ることなく、偽造されたツール呼び出しがそのまま実行系に到達しうるというもので、5件のCVEが割り当てられている。研究者らは各ベンダーに事前に検証コード（PoC）を提供済みだが、公開はしていない。大半の脆弱性は既に修正されているが、AWSがオープンソースで公開しているStrands Python SDKの一部の経路は、記事執筆時点で未パッチのまま残っているという。

発見されたCVEと影響範囲

CoreBreakとして報告された主なCVEは以下の通り。

  • AWS Bedrock AgentCore（CVE-2026-18830、CVSS 8.6）: InvokeHarness APIの入力検証が不十分で、認証済みユーザーがツール利用ブロックを直接注入できた。2026年7月31日までにサーバー側で自動的に修正済み。
  • Google ADK for Python（CVE-2026-18236、CVSS 9.3）: 「continuation forgery」と呼ばれる継続偽造の問題に加え、resumableモードでユーザーが作成した関数呼び出しを受け入れてしまう別のバイパスも確認された。バージョン2.5.0（2026年7月16日）で検証チェックの追加とユーザーメッセージ内の関数呼び出し拒否が行われ、両方の問題が修正された。
  • Vercel AI SDK（CVE-2026-64650／@ai-sdk/harness-codex、CVE-2026-64651／@ai-sdk/harness-opencode、いずれもCVSS 6.3）: 承認済みヘルパースクリプトを含むコマンドラインを信頼してしまうプロセスパス認可の問題。2026年7月10日に、フォールバック処理を廃止し、モデルのイベントに紐づく一回限りの厳密な認可を必須とする修正が行われた。
  • Strands Python SDK: 個別のCVEは発行されておらず、AWSは顧客側の責任範囲としている。最新のtoolUseメッセージに対してモデルをスキップしてしまうショートカットがアップストリームのコードに残存しており、外部からの注入リスクを警告した4月のプルリクエストも未マージのままだという。

技術的な仕組み

通常のAIエージェントは、ユーザーのリクエストを受けてモデルがツール呼び出しを判断し、それをSDKが実行するという流れをとる。CoreBreakは、この「モデルが判断する」ステップを迂回できてしまう欠陥で、ツール呼び出しの形をしたデータが正当なモデルの認可を経て生成されたものかどうかを検証していない経路が悪用される。攻撃条件はプラットフォームごとに異なり、AWSでは認証済みのリモートリクエスト、Googleでは攻撃者が制御可能なセッションイベントやユーザーが作成した呼び出し、Vercelではすでにサンドボックス内で実行されている信頼できないコードが起点となる。研究者らは「モデルは一度も実行されていないため、システムプロンプトやコンテンツフィルター、モデルレベルのガードレールが介入する機会すら与えられない」と指摘しており、モデルの推論を欺くプロンプトインジェクションとは根本的に異なる性質の脅威だとしている。

対応状況と今後の課題

ベンダー各社は該当パッケージの修正版を速やかに提供しているが、AWSのStrands Python SDKについては未パッチの経路が残るとされ、利用者側での注意が必要な状況が続いている。研究者らは、対策として影響を受けるパッケージの速やかなアップグレードに加え、会話履歴やツール利用ブロックを信頼できない外部入力として扱うこと、各ツール呼び出しを特定のモデルイベント・引数・セッション状態に紐付けること、エージェントの権限を必要最小限のツールに限定することを推奨している。今回の事案は、AIエージェント基盤において「モデルの判断」を前提とした従来のセキュリティモデルだけでは不十分であり、実行系そのものの認可設計が問われる新たな脅威分類として注目されている。