Sintesi
Il 6 agosto 2026, i ricercatori Hedi Ingber e Aviyam Ivgi di Stealth hanno presentato CoreBreak alla Black Hat USA. Hanno dimostrato che gli harness di AWS Bedrock AgentCore, Google ADK per Python e Vercel AI SDK accettavano dati formattati come tool-call generate da un modello e le distribuivano senza verificare che il modello le avesse effettivamente prodotte. In diversi percorsi di attacco, l'LLM non è mai stato eseguito. I system prompt erano irrilevanti. Filtri di contenuto e guardrail non vedevano nulla. Tre vendor, cinque CVE, patch già disponibili — ecco cosa devono fare i team che costruiscono agent IA.
Come funziona CoreBreak
Nel flusso normale di un agent IA, il modello riceve una richiesta utente, ragiona e restituisce una risposta strutturata che può includere tool-call. L'harness dell'agent legge queste chiamate ed esegue i tool registrati — legge file, chiama API, scrive record. CoreBreak dimostra che nelle implementazioni AWS, Google e Vercel affette, il passaggio di dispatch poteva essere raggiunto da un attaccante senza che il modello venisse mai eseguito.
I team che costruiscono prodotti su fondamenta di sviluppo di agent IA con AWS Bedrock, Google ADK o Vercel AI SDK devono trattare questo come un'azione di patching immediata. L'insight centrale dei ricercatori: il layer di esecuzione verificava la forma di una tool-call — se sembrava un'istruzione autorizzata da un modello — ma non la sua provenienza: se un'inferenza di modello legittima e verificata l'aveva effettivamente prodotta.
I ricercatori hanno chiamato il pattern CoreBreak perché rompe il contratto centrale di autorizzazione tra il modello e i tool che è autorizzato a invocare. Un attaccante non doveva convincere il modello ad agire contro le sue istruzioni. Raggiungeva semplicemente il percorso di dispatch senza un turno di modello.
I tre vendor e i cinque CVE
AWS — CVE-2026-18830, CVSS v4.0 8.6
La falla risiedeva nell'API InvokeHarness di Amazon Bedrock AgentCore. Un utente remoto autenticato poteva iniettare blocchi di tool-use nell'ultimo messaggio di una richiesta di invocazione dell'harness. L'harness distribuiva il tool senza un turno di modello, il che significa che qualsiasi tool registrato — inclusi quelli con accesso in scrittura a database o servizi esterni — poteva essere invocato direttamente da un attaccante con credenziali API valide.
AWS ha corretto il servizio gestito lato server il 31 luglio 2026. Nessun aggiornamento client è richiesto per i team che usano Bedrock AgentCore tramite l'API gestita standard. Tuttavia, i team che usano l'AWS Strands Python SDK per costruire harness personalizzati dovrebbero verificare la propria versione indipendentemente.
Google — CVE-2026-18236, CVSS v4.0 9.3
Google ADK per Python aveva due percorsi vulnerabili distinti, entrambi corretti in ADK 2.5.0 del 16 luglio. Il primo percorso riguardava eventi di confirmation-approval falsificati che potevano riprendere una sessione di agent e autorizzare l'esecuzione di tool senza un genuino turno di modello. Il secondo, specifico per i flussi in modalità resumable, consentiva a messaggi utente contenenti parti function-call di essere interpretati come istruzioni autorizzate dal modello. Il fix di Google rifiuta esplicitamente le function-call incorporate nei messaggi utente.
Il percorso in modalità resumable è particolarmente rilevante per i workflow di agent a lunga esecuzione — un pattern comune in data engineering, elaborazione documenti e pipeline di automazione aziendale multi-step.
Vercel — CVE-2026-64650 e CVE-2026-64651, CVSS v4.0 6.3 ciascuno
Due pacchetti harness di Vercel AI SDK erano affetti. @ai-sdk/harness-codex fino alla versione 1.0.28 (patchato in 1.0.29) e @ai-sdk/harness-opencode fino alla 1.0.27 (patchato in 1.0.28) permettevano a codice non attendibile eseguito in una sandbox Linux di sfruttare controlli di trust sul percorso di processo per invocare tool host senza autorizzazione del modello.
Perché è diverso dal prompt injection
Gli attacchi di prompt injection funzionano convincendo il modello ad agire contro le sue istruzioni — richiedono che l'LLM elabori contenuto malevolo e prenda una decisione. CoreBreak bypassa il modello completamente. L'attaccante non deve costruire un prompt ingegnoso o sperare che il modello segua istruzioni iniettate. Il modello semplicemente non viene mai eseguito.
Questo rende CoreBreak strutturalmente diverso dai risultati di Check Point Research divulgati nello stesso evento Black Hat 2026, che si concentravano su vulnerabilità software classiche — deserializzazione, SSRF, path traversal — in framework agent open source popolari come LangChain, LangGraph e CrewAI. Entrambe le classi di rischio sono reali. Ma operano a livelli diversi e richiedono misure correttive diverse.
Cosa significa per i team software
La copertura è ampia. AWS Bedrock AgentCore, Google ADK e Vercel AI SDK coprono collettivamente una grande quota dei deployment di agent IA in produzione nel 2026. Se il vostro team ha messo in produzione un agent negli ultimi dodici mesi, c'è una probabilità reale che abbia funzionato su una di queste fondamenta durante la finestra di vulnerabilità.
Il servizio gestito AWS è stato patchato silenziosamente. AWS ha corretto AgentCore il 31 luglio senza richiedere azioni client. Questo è il comportamento corretto per un runtime gestito nel cloud — ma significa anche che la forensica retrospettiva è più difficile. Per produrre prove di conformità, avrete bisogno dei vostri log di chiamate AgentCore.
La patch di Google era disponibile tre settimane prima della divulgazione pubblica. ADK 2.5.0 è uscito il 16 luglio. Se il vostro requirements.txt è pinnato su una versione precedente — situazione comune negli ambienti Python — aggiornate adesso.
La lezione strutturale. Il layer di dispatch dei tool ha bisogno della stessa rigore di autorizzazione dei gateway API o dei provider di identità: verificare non solo la forma dell'istruzione, ma anche la sua provenienza.
Contesto mercato Italia: GDPR, Garante, ACN e PNRR
Per i team software italiani, CoreBreak si inserisce in un quadro normativo preciso. Sotto il GDPR, uno scenario di sfruttamento di CoreBreak prima della data di patch in cui un attaccante accede a dati personali tramite una tool-call di agent costituirebbe una violazione dei dati personali — con obbligo di notifica al Garante per la protezione dei dati personali entro 72 ore. I team devono analizzare i propri log AgentCore per valutare se durante la finestra di vulnerabilità (prima del 31 luglio per AWS, prima del 16 luglio per Google ADK) possano essere avvenute invocazioni di tool non autorizzate.
L'ACN (Agenzia per la Cybersicurezza Nazionale) ha pubblicato nel 2025-2026 linee guida sulla sicurezza dei sistemi IA e degli agent software, sottolineando l'importanza della verifica della provenienza delle istruzioni nei pipeline di orchestrazione — esattamente il controllo che CoreBreak dimostra mancante. Per le entità soggette a DORA nel settore finanziario italiano (banche, assicurazioni, SGR), la documentazione del patch CoreBreak come misura di remediation ICT è richiesta nell'ambito della gestione del rischio ICT di terze parti. Infine, le organizzazioni che beneficiano dei fondi del PNRR per la digitalizzazione devono considerare i CVE legati agli agent IA come parte del risk management dei sistemi digitali finanziati, in linea con i requisiti di sicurezza e conformità della Missione 1 Componente 1 del Piano.
Cosa fare adesso
| Azione | Priorità | Note |
|---|---|---|
| Aggiornare Google ADK a ≥2.5.0 | Immediata | Copre entrambi i percorsi CVE-2026-18236 |
| Pinnare Vercel @ai-sdk/harness-codex a ≥1.0.29 | Immediata | CVE-2026-64650 |
| Pinnare Vercel @ai-sdk/harness-opencode a ≥1.0.28 | Immediata | CVE-2026-64651 |
| Confermare che AWS AgentCore usi il servizio gestito | Questo sprint | Servizio gestito patchato il 31 luglio |
| Verificare versione AWS Strands Python SDK se usato | Questo sprint | Controllare i bollettini di sicurezza AWS recenti |
| Aggiungere pacchetti AI SDK al dependency scanning CI | Questo sprint | Rilevare futuri CVE prima del deploy |
| Inventariare tool agent registrati e portata di accesso dati | Questo sprint | Minimizzare il blast radius |
| Documentare remediation per SOC 2, DORA, Regolamento UE sull'IA | Entro 30 giorni | Obbligatorio per ambienti regolamentati (GDPR/Garante, DORA, NIS2, PNRR) |
Per i team FinTech e HealthTech, aggiungete al processo di remediation una revisione strutturata delle registrazioni di tool degli agent: mappate quali tool ogni harness può invocare, a quali database o sistemi esterni questi tool accedono, e verificate che nessuna esecuzione di tool non intenzionale sia avvenuta durante la finestra di vulnerabilità.
Fonti: The Hacker News — AWS, Google, and Vercel Agent Flaws Let Attackers Trigger Tools Without Running the Model (6 agosto 2026); TechTimes — AWS Fixed Its Managed Agent Service but Left Strands Python SDK Unpatched (6 agosto 2026).
FAQ
Cos'è la vulnerabilità CoreBreak?
CoreBreak è una classe di vulnerabilità divulgata alla Black Hat USA 2026 da Hedi Ingber e Aviyam Ivgi di Stealth. Descrive una lacuna di progettazione in cui il layer di esecuzione dei tool nei runtime di agent IA distribuisce tool-call senza verificare che un turno di modello legittimo li abbia autorizzati. Il modello non viene mai eseguito; system prompt, filtri di contenuto e guardrail non vedono la richiesta.
Quali prodotti sono interessati e devo aggiornare?
Tre piattaforme su cinque CVE. AWS Bedrock AgentCore (CVE-2026-18830, CVSS v4.0 8.6) patchato lato server il 31 luglio — nessuna azione client per il servizio gestito, ma verificare la versione Strands Python SDK. Google ADK per Python (CVE-2026-18236, CVSS v4.0 9.3) patchato in 2.5.0 del 16 luglio — aggiornare immediatamente. Vercel @ai-sdk/harness-codex (CVE-2026-64650, CVSS 6.3) patchato in 1.0.29; @ai-sdk/harness-opencode (CVE-2026-64651, CVSS 6.3) in 1.0.28.
CoreBreak è uguale alle falle nei framework agent di Check Point alla Black Hat 2026?
No. I risultati Check Point prendevano di mira framework open source — LangChain, LangGraph, CrewAI, AutoGen — con bug classici come deserializzazione, SSRF e path traversal. CoreBreak prende di mira harness gestiti nel cloud e basati su SDK di AWS, Google e Vercel, e il meccanismo è diverso: bypassa completamente la fase di autorizzazione del modello. Entrambe le classi richiedono remediation separate.
Cosa devono fare ora i team di engineering che costruiscono agent IA?
Aggiornare subito alle versioni patchate: Google ADK 2.5.0+, Vercel harness-codex 1.0.29+, harness-opencode 1.0.28+. Confermare che AWS Bedrock AgentCore usi il servizio gestito (patchato 31 luglio) e verificare la versione Strands SDK. Inventariare tutti i tool agent, valutare portata di accesso, aggiungere pacchetti AI SDK al dependency scanning CI. Per ambienti regolamentati — FinTech (DORA), HealthTech, operatori NIS2, beneficiari PNRR — documentare la remediation come prova per SOC 2, DORA e Regolamento UE sull'IA.