Résumé
Le 6 août 2026, les chercheurs Hedi Ingber et Aviyam Ivgi de Stealth ont présenté CoreBreak à la Black Hat USA. Ils ont démontré que les harnesses d'AWS Bedrock AgentCore, Google ADK pour Python et Vercel AI SDK acceptaient des données formatées comme des tool-calls générées par un modèle et les distribuaient sans vérifier que le modèle les avait effectivement produites. Dans plusieurs chemins d'attaque, le LLM n'a jamais été exécuté. Les system prompts étaient sans effet. Les filtres de contenu et guardrails ne voyaient rien. Trois fournisseurs, cinq CVE, correctifs déjà disponibles — voici ce que les équipes qui construisent des agents IA doivent faire.
Comment fonctionne CoreBreak
Dans le flux normal d'un agent IA, le modèle reçoit une requête utilisateur, raisonne et retourne une réponse structurée qui peut inclure des tool-calls. Le harness de l'agent lit ces appels et exécute les outils enregistrés — lit des fichiers, appelle des API, écrit des enregistrements. CoreBreak démontre que dans les implémentations AWS, Google et Vercel affectées, la phase de dispatch pouvait être atteinte par un attaquant sans que le modèle soit jamais exécuté.
Les équipes qui construisent des produits basés sur le développement d'agents IA avec AWS Bedrock, Google ADK ou Vercel AI SDK doivent traiter cela comme une action de patch immédiate. L'insight central des chercheurs : la couche d'exécution vérifiait la forme d'un tool-call — s'il ressemblait à une instruction autorisée par un modèle — mais pas sa provenance : si une inférence de modèle légitime et vérifiée l'avait effectivement produite.
Les chercheurs ont appelé le pattern CoreBreak parce qu'il brise le contrat central d'autorisation entre le modèle et les outils qu'il est autorisé à invoquer. Un attaquant n'avait pas besoin de convaincre le modèle d'agir contre ses instructions. Il atteignait simplement le chemin de dispatch sans tour de modèle.
Les trois fournisseurs et cinq CVE
AWS — CVE-2026-18830, CVSS v4.0 8.6
La faille résidait dans l'API InvokeHarness d'Amazon Bedrock AgentCore. Un utilisateur distant authentifié pouvait injecter des blocs de tool-use dans le dernier message d'une requête d'invocation du harness. Le harness distribuait l'outil sans tour de modèle, ce qui signifie que tout outil enregistré — y compris ceux ayant un accès en écriture aux bases de données ou services externes — pouvait être invoqué directement par un attaquant disposant d'identifiants API valides.
AWS a corrigé le service géré côté serveur le 31 juillet 2026. Aucune mise à jour client n'est requise pour les équipes utilisant Bedrock AgentCore via l'API gérée standard. Cependant, les équipes utilisant l'AWS Strands Python SDK pour construire des harnesses personnalisés doivent vérifier leur version indépendamment.
Google — CVE-2026-18236, CVSS v4.0 9.3
Google ADK pour Python présentait deux chemins vulnérables distincts, tous deux corrigés dans ADK 2.5.0 du 16 juillet. Le premier chemin concernait des événements de confirmation-approbation falsifiés qui pouvaient reprendre une session d'agent et autoriser l'exécution d'outils sans véritable tour de modèle. Le second, spécifique aux flux en mode resumable, permettait à des messages utilisateur contenant des parties function-call d'être interprétés comme des instructions autorisées par le modèle. Le correctif de Google refuse explicitement les function-calls intégrées dans les messages utilisateur.
Le chemin en mode resumable est particulièrement pertinent pour les workflows d'agent à longue durée d'exécution — un pattern courant dans l'ingénierie des données, le traitement de documents et les pipelines d'automatisation d'entreprise multi-étapes.
Vercel — CVE-2026-64650 et CVE-2026-64651, CVSS v4.0 6.3 chacun
Deux packages harness de Vercel AI SDK étaient affectés. @ai-sdk/harness-codex jusqu'à la version 1.0.28 (corrigé en 1.0.29) et @ai-sdk/harness-opencode jusqu'à 1.0.27 (corrigé en 1.0.28) permettaient à du code non approuvé exécuté dans un sandbox Linux d'exploiter des contrôles de confiance sur le chemin de processus pour invoquer des outils hôte sans autorisation du modèle.
Pourquoi c'est différent du prompt injection
Les attaques de prompt injection fonctionnent en convainquant le modèle d'agir contre ses instructions — elles exigent que le LLM traite du contenu malveillant et prenne une décision. CoreBreak contourne complètement le modèle. L'attaquant n'a pas besoin de construire un prompt ingénieux ou d'espérer que le modèle suive des instructions injectées. Le modèle n'est tout simplement jamais exécuté.
Cela rend CoreBreak structurellement différent des résultats de Check Point Research divulgués au même événement Black Hat 2026, qui se concentraient sur des vulnérabilités logicielles classiques — désérialisation, SSRF, path traversal — dans des frameworks d'agents open source populaires comme LangChain, LangGraph et CrewAI. Les deux classes de risque sont réelles. Mais elles opèrent à des niveaux différents et nécessitent des mesures correctives différentes.
Ce que cela signifie pour les équipes logicielles
La couverture est large. AWS Bedrock AgentCore, Google ADK et Vercel AI SDK couvrent collectivement une grande part des déploiements d'agents IA en production en 2026. Si votre équipe a mis un agent en production au cours des douze derniers mois, il y a une probabilité réelle qu'il ait fonctionné sur l'une de ces fondations pendant la fenêtre de vulnérabilité.
Le service géré AWS a été patché silencieusement. AWS a corrigé AgentCore le 31 juillet sans nécessiter d'actions client. C'est le bon comportement pour un runtime géré dans le cloud — mais cela signifie aussi que la forensique rétrospective est plus difficile. Pour produire des preuves de conformité, vous aurez besoin de vos propres logs d'appels AgentCore.
Le patch de Google était disponible trois semaines avant la divulgation publique. ADK 2.5.0 est sorti le 16 juillet. Si votre requirements.txt est piné sur une version antérieure — situation courante dans les environnements Python — mettez à jour maintenant.
La leçon structurelle. La couche de dispatch des outils a besoin de la même rigueur d'autorisation que les API gateways ou les fournisseurs d'identité : vérifier non seulement la forme de l'instruction, mais aussi sa provenance.
Angle marché France : RGPD, ANSSI et secteur tech français
Pour les équipes logicielles en France, CoreBreak s'inscrit dans un cadre réglementaire précis. Sous le RGPD, un scénario d'exploitation de CoreBreak avant la date de patch où un attaquant accède à des données personnelles via un tool-call non autorisé constituerait une violation de données personnelles — avec une obligation de notification à la CNIL dans les 72 heures. Les équipes doivent analyser leurs logs AgentCore pour évaluer si, pendant la fenêtre de vulnérabilité (avant le 31 juillet pour AWS, avant le 16 juillet pour Google ADK), des invocations d'outils non autorisées ont pu avoir lieu.
L'ANSSI a publié en 2026 des recommandations sur la sécurité des systèmes IA et des agents logiciels, soulignant l'importance de la vérification de la provenance des instructions dans les pipelines d'orchestration — exactement le contrôle que CoreBreak démontre absent. Ces recommandations s'appliquent particulièrement aux opérateurs d'importance vitale (OIV) et aux opérateurs de services essentiels (OSE) qui déploient des solutions basées sur des agents IA. Pour les établissements financiers français soumis à DORA — banques, assurances, sociétés de gestion — la documentation du patch CoreBreak comme mesure de remédiation ICT est requise dans le cadre de la gestion du risque ICT des tiers.
La French Tech compte plus de 400 startups actives dans le domaine des agents IA, dont beaucoup s'appuient sur AWS Bedrock, Google ADK ou Vercel AI SDK comme fondation. Ces équipes doivent traiter CoreBreak comme une priorité immédiate : non seulement pour la conformité RGPD, mais aussi parce que leurs clients entreprises exigent de plus en plus des preuves de gestion des CVE dans les audits de sécurité fournisseurs. Les équipes qui développent des agents IA pour le secteur public français doivent également tenir compte du référentiel de sécurité des systèmes d'information de l'État (RGS) et des exigences de l'ANSSI en matière d'homologation.
Ce qu'il faut faire maintenant
| Action | Priorité | Notes |
|---|---|---|
| Mettre à jour Google ADK vers ≥2.5.0 | Immédiate | Couvre les deux chemins CVE-2026-18236 |
| Pinner Vercel @ai-sdk/harness-codex à ≥1.0.29 | Immédiate | CVE-2026-64650 |
| Pinner Vercel @ai-sdk/harness-opencode à ≥1.0.28 | Immédiate | CVE-2026-64651 |
| Confirmer qu'AWS AgentCore utilise le service géré | Ce sprint | Service géré patché le 31 juillet |
| Vérifier la version AWS Strands Python SDK si utilisé | Ce sprint | Consulter les bulletins de sécurité AWS récents |
| Ajouter les packages AI SDK au dependency scanning CI | Ce sprint | Détecter les futurs CVE avant le déploiement |
| Inventorier les outils d'agent enregistrés et la portée d'accès aux données | Ce sprint | Minimiser le blast radius |
| Analyser les logs AgentCore de la fenêtre de vulnérabilité | Ce sprint | Obligation RGPD/CNIL : 72h si accès à des données personnelles |
| Documenter la remédiation pour SOC 2, DORA, règlement UE sur l'IA | Sous 30 jours | Obligatoire pour les environnements réglementés (RGPD/CNIL, DORA, NIS2, ANSSI) |
Pour les équipes FinTech et HealthTech, ajoutez au processus de remédiation une revue structurée des enregistrements d'outils des agents : cartographiez quels outils chaque harness peut invoquer, quelles bases de données ou systèmes externes ces outils atteignent, et vérifiez qu'aucune exécution d'outil non intentionnelle n'a eu lieu pendant la fenêtre de vulnérabilité.
Sources : The Hacker News — AWS, Google, and Vercel Agent Flaws Let Attackers Trigger Tools Without Running the Model (6 août 2026) ; TechTimes — AWS Fixed Its Managed Agent Service but Left Strands Python SDK Unpatched (6 août 2026).
FAQ
Qu'est-ce que la vulnérabilité CoreBreak ?
CoreBreak est une classe de vulnérabilités divulguée à la Black Hat USA 2026 par Hedi Ingber et Aviyam Ivgi de Stealth. Elle décrit une lacune de conception où la couche d'exécution des outils dans les runtimes d'agents IA distribue des tool-calls sans vérifier qu'un tour de modèle légitime les a autorisés. Le modèle n'est jamais exécuté ; les system prompts, filtres de contenu et guardrails ne voient pas la requête.
Quels produits sont concernés et dois-je effectuer une mise à jour ?
Trois plateformes de cinq CVE. AWS Bedrock AgentCore (CVE-2026-18830, CVSS v4.0 8.6) patché côté serveur le 31 juillet — aucune action client pour le service géré, mais vérifier la version Strands Python SDK. Google ADK pour Python (CVE-2026-18236, CVSS v4.0 9.3) patché en 2.5.0 du 16 juillet — mettre à jour immédiatement. Vercel @ai-sdk/harness-codex (CVE-2026-64650, CVSS 6.3) patché en 1.0.29 ; @ai-sdk/harness-opencode (CVE-2026-64651, CVSS 6.3) en 1.0.28.
CoreBreak est-il identique aux failles des frameworks d'agents de Check Point à la Black Hat 2026 ?
Non. Les résultats de Check Point ciblaient des frameworks open source — LangChain, LangGraph, CrewAI, AutoGen — avec des bugs classiques comme désérialisation, SSRF et path traversal. CoreBreak cible des harnesses gérés dans le cloud basés sur des SDK d'AWS, Google et Vercel, et le mécanisme est différent : il contourne complètement la phase d'autorisation du modèle. Les deux classes nécessitent des mesures correctives séparées.
Que doivent faire maintenant les équipes d'ingénierie qui construisent des agents IA ?
Mettre à jour immédiatement vers les versions patchées : Google ADK 2.5.0+, Vercel harness-codex 1.0.29+, harness-opencode 1.0.28+. Confirmer qu'AWS Bedrock AgentCore utilise le service géré (patché le 31 juillet) et vérifier la version Strands SDK. Inventorier tous les outils d'agent, évaluer la portée d'accès, ajouter les packages AI SDK au dependency scanning CI. Pour les environnements réglementés — FinTech (DORA), HealthTech, opérateurs NIS2, RGPD — documenter la remédiation comme preuve pour SOC 2, DORA et le règlement de l'UE sur l'IA.