CoreBreak: KI-Agenten-Tools ohne Modell-Turn in AWS, Google und Vercel SDK ausgelöst

Daniel Reyes Principal Engineer (KI/ML), YuSMP Group · LLM-Systeme, KI-Agenten und Tooling für US- und EU-Produkte

Zusammenfassung

Wie CoreBreak funktioniert

Im normalen Ablauf eines KI-Agenten empfängt das Modell eine Benutzeranfrage, denkt nach und gibt eine strukturierte Antwort zurück, die Tool-Calls enthalten kann. Der Agent-Harness liest diese Calls und führt die registrierten Tools aus — liest Dateien, ruft APIs auf, schreibt Datensätze. CoreBreak demonstriert, dass in den betroffenen AWS-, Google- und Vercel-Implementierungen die Dispatch-Phase von einem Angreifer erreicht werden konnte, ohne dass das Modell jemals ausgeführt wurde.

Teams, die Produkte auf Basis der Entwicklung von KI-Agenten mit AWS Bedrock, Google ADK oder Vercel AI SDK aufbauen, müssen dies als sofortige Patch-Maßnahme behandeln. Die zentrale Erkenntnis der Forscher: Die Ausführungsschicht prüfte die Form eines Tool-Calls — ob er wie eine modell-autorisierte Anweisung aussah — aber nicht seine Herkunft: ob ein legitimer, verifizierter Modell-Inferenz-Vorgang ihn tatsächlich erzeugt hatte.

Die Forscher nannten das Muster CoreBreak, weil es den zentralen Autorisierungsvertrag zwischen dem Modell und den Tools, die es aufrufen darf, bricht. Ein Angreifer musste das Modell nicht dazu bringen, gegen seine Anweisungen zu handeln. Er erreichte einfach den Dispatch-Pfad ohne einen Modell-Turn.

Die drei Anbieter und fünf CVEs

AWS — CVE-2026-18830, CVSS v4.0 8.6

Die Schwachstelle lag in der InvokeHarness-API von Amazon Bedrock AgentCore. Ein authentifizierter Remote-Benutzer konnte Tool-Use-Blöcke in die letzte Nachricht einer Harness-Aufrufanfrage injizieren. Der Harness verteilte das Tool ohne einen Modell-Turn, was bedeutet, dass jedes registrierte Tool — einschließlich solcher mit Schreibzugriff auf Datenbanken oder externe Dienste — direkt von einem Angreifer mit gültigen API-Anmeldeinformationen aufgerufen werden konnte.

AWS hat den verwalteten Dienst serverseitig am 31. Juli 2026 gepatcht. Für Teams, die Bedrock AgentCore über die standardmäßige verwaltete API nutzen, ist kein Client-Update erforderlich. Teams, die das AWS Strands Python SDK zum Aufbau benutzerdefinierter Harnesses verwenden, sollten ihre Version jedoch unabhängig prüfen.

Google — CVE-2026-18236, CVSS v4.0 9.3

Google ADK für Python hatte zwei unterschiedliche verwundbare Pfade, beide in ADK 2.5.0 vom 16. Juli behoben. Der erste Pfad betraf gefälschte Confirmation-Approval-Ereignisse, die eine Agent-Sitzung fortsetzen und die Tool-Ausführung ohne einen echten Modell-Turn autorisieren konnten. Der zweite, spezifisch für Resumable-Mode-Flows, erlaubte es Benutzernachrichten, die Function-Call-Teile enthielten, als modell-autorisierte Anweisungen interpretiert zu werden. Googles Fix lehnt explizit Function-Calls ab, die in Benutzernachrichten eingebettet sind.

Der Resumable-Mode-Pfad ist besonders relevant für langläufige Agent-Workflows — ein häufiges Muster in Data Engineering, Dokumentenverarbeitung und mehrstufigen Unternehmensautomatisierungs-Pipelines.

Vercel — CVE-2026-64650 und CVE-2026-64651, CVSS v4.0 6.3 jeweils

Zwei Vercel AI SDK Harness-Pakete waren betroffen. @ai-sdk/harness-codex bis Version 1.0.28 (gepatcht in 1.0.29) und @ai-sdk/harness-opencode bis 1.0.27 (gepatcht in 1.0.28) erlaubten es nicht vertrauenswürdigem Code, der in einer Linux-Sandbox ausgeführt wurde, Vertrauensprüfungen auf dem Prozesspfad zu nutzen, um Host-Tools ohne Modell-Autorisierung aufzurufen.

Warum es sich von Prompt Injection unterscheidet

Prompt-Injection-Angriffe funktionieren, indem das Modell dazu gebracht wird, gegen seine Anweisungen zu handeln — sie erfordern, dass das LLM bösartige Inhalte verarbeitet und eine Entscheidung trifft. CoreBreak umgeht das Modell vollständig. Der Angreifer muss keinen ausgeklügelten Prompt erstellen oder hoffen, dass das Modell injizierte Anweisungen befolgt. Das Modell wird einfach nie ausgeführt.

Dies macht CoreBreak strukturell anders als die Ergebnisse von Check Point Research, die auf demselben Black Hat 2026 Event veröffentlicht wurden und sich auf klassische Software-Schwachstellen — Deserialisierung, SSRF, Path Traversal — in populären Open-Source-Agent-Frameworks wie LangChain, LangGraph und CrewAI konzentrierten. Beide Risikoklassen sind real. Aber sie operieren auf unterschiedlichen Ebenen und erfordern unterschiedliche Gegenmaßnahmen.

Was das für Software-Teams bedeutet

Die Abdeckung ist breit. AWS Bedrock AgentCore, Google ADK und Vercel AI SDK decken kollektiv einen großen Anteil der KI-Agent-Deployments in der Produktion im Jahr 2026 ab. Wenn Ihr Team in den letzten zwölf Monaten einen Agenten in die Produktion gebracht hat, besteht eine reale Wahrscheinlichkeit, dass er auf einer dieser Grundlagen während des Schwachstellenfensters betrieben wurde.

Der AWS-verwaltete Dienst wurde still gepatcht. AWS hat AgentCore am 31. Juli ohne erforderliche Client-Aktionen gepatcht. Dies ist das richtige Verhalten für eine verwaltete Cloud-Laufzeit — bedeutet aber auch, dass die retrospektive Forensik schwieriger ist. Um Compliance-Nachweise zu erstellen, benötigen Sie Ihre eigenen AgentCore-Call-Logs.

Googles Patch war drei Wochen vor der öffentlichen Offenlegung verfügbar. ADK 2.5.0 erschien am 16. Juli. Wenn Ihre requirements.txt auf einer älteren Version fixiert ist — eine häufige Situation in Python-Umgebungen — aktualisieren Sie jetzt.

Die strukturelle Lektion. Die Tool-Dispatch-Schicht benötigt dieselbe Autorisierungsstrenge wie API-Gateways oder Identity-Provider: nicht nur die Form der Anweisung prüfen, sondern auch ihre Herkunft verifizieren.

Was CoreBreak für den DACH-Markt bedeutet

Für Software-Teams in Deutschland, Österreich und der Schweiz entsteht durch CoreBreak ein konkreter regulatorischer Handlungsbedarf. Unter der DSGVO stellt ein CoreBreak-Exploit vor dem Patch-Datum, bei dem ein Angreifer über einen nicht autorisierten Agent-Tool-Call auf personenbezogene Daten zugreift, eine Datenschutzverletzung dar — mit der Pflicht zur Meldung beim zuständigen Landesdatenschutzbeauftragten (in Deutschland beim BfDI oder der jeweiligen Landesbehörde) innerhalb von 72 Stunden. DACH-Teams sollten ihre AgentCore-Call-Logs analysieren, um zu bewerten, ob im Schwachstellenfenster (vor dem 31. Juli für AWS, vor dem 16. Juli für Google ADK) nicht autorisierte Tool-Aufrufe stattgefunden haben.

Für Unternehmen im Finanzsektor, die der DORA-Verordnung unterliegen — Banken, Versicherungen und Vermögensverwalter in Deutschland, Österreich und der Schweiz sind seit Januar 2025 verpflichtet — müssen Patch-Maßnahmen zu CoreBreak als Teil des IKT-Risikomanagements für Drittanbieter dokumentiert werden. Der Nachweis einer zeitnahen Remediation ist bei einer Prüfung durch die BaFin (Deutschland), die FMA (Österreich) oder die FINMA (Schweiz) relevant. Unter NIS2 sind Betreiber wesentlicher und wichtiger Einrichtungen verpflichtet, Sicherheitskontrollen für kritische Software-Komponenten nachzuweisen — CVEs in KI-Agent-SDKs fallen eindeutig in diese Kategorie.

Das BSI IT-Grundschutz-Kompendium fordert explizit Patch-Management für Drittanbieter-Komponenten (Baustein APP.6). CoreBreak ist ein Paradebeispiel dafür, warum KI-SDK-Pakete in automatisierte Dependency-Scanning-Prozesse aufgenommen werden müssen — nicht nur als bewährte Praxis, sondern als nachweisbarer Kontrollnachweis. DACH-Teams sollten zudem ihre AgentCore-Call-Logs aus dem Zeitraum vor dem 31. Juli prüfen und sicherstellen, dass alle Agent-Tool-Registrierungen mit minimalen Berechtigungen (Least Privilege) konfiguriert sind.

Was jetzt zu tun ist

Für FinTech- und HealthTech-Teams fügen Sie dem Remediation-Prozess eine strukturierte Überprüfung der Agent-Tool-Registrierungen hinzu: Kartieren Sie, welche Tools jeder Harness aufrufen kann, auf welche Datenbanken oder externen Systeme diese Tools zugreifen, und verifizieren Sie, dass während des Schwachstellenfensters keine unbeabsichtigte Tool-Ausführung stattgefunden hat.

FAQ