Apa yang terjadi
Pada Black Hat 2026, para peneliti (Aviyam Ivgi, Hedi Ingber) mengungkap CoreBreak, cacat struktural di mana titik penegakan untuk eksekusi tool dan persetujuan manusia berada di dalam data yang dapat dipicu untuk dibuat oleh agen. Dengan diberi riwayat pesan yang sudah berisi pemanggilan tool atau peristiwa 'disetujui' palsu, harness mengeksekusi tool atau mengonfirmasi persetujuan tanpa model pernah mengotorisasinya, sehingga guardrail yang membungkus model sepenuhnya dilewati. Ketiga vendor merilis perbaikan darurat yang memindahkan penegakan ke batas di luar pita (out-of-band), dan benchmark pendamping Redpanda menunjukkan kegagalan yang setara untuk guardrail berbasis aturan prompt saja dan model peninjau.
Mengapa penting
Ini adalah kelas serangan eksekusi agen baru dengan patch vendor yang berfungsi: ia mengalahkan pertahanan utama industri (guardrail/prompt yang membungkus model) dan juga memungkinkan penyerang mengonsumsi persetujuan manusia yang tidak pernah diberikan manusia tersebut. Dikombinasikan dengan tool browser/penafsir kode yang membawa kredensial, instruksi yang disuntikkan dapat mengarahkan tool untuk membaca dan mengeksfiltrasi kredensial cloud dari peran eksekusi. Ini adalah argumen konkret bahwa otorisasi agen harus ditegakkan di luar agen.
Vektor serangan
Penyerang yang dapat memengaruhi riwayat pesan agen (injeksi prompt tidak langsung dalam konten yang diambil/diingest) memasok pesan yang entri terbarunya sudah berisi pemanggilan tool, sehingga harness mengeksekusi tool dengan argumen yang dipilih penyerang sementara model dan setiap guardrail (prompt sistem, filter konten, pelatihan penolakan) tidak pernah aktif. Varian kedua memalsukan peristiwa konfirmasi 'disetujui' dalam riwayat yang sama, sehingga langkah persetujuan manusia-dalam-loop mengotorisasi tindakan yang tidak dilihat manusia mana pun.
Sistem yang terdampak
AWS Bedrock AgentCore (+ Strands SDK) diperbaiki melalui CVE-2026-18830 (CVSS 8.6); Google Agent Development Kit diperbaiki melalui CVE-2026-18236 (CVSS 9.3); Vercel AI SDK diperbaiki melalui CVE-2026-64650 dan CVE-2026-64651.
Mitigasi
Terapkan patch AWS/Google/Vercel untuk CVE yang tercantum dan adopsi penegakan kebijakan di luar pita (OBPE): tolak pemanggilan tool buatan pemanggil, otorisasi tool pada waktu eksekusi terhadap status yang tidak dapat dibuat oleh penyerang, dan ikat setiap invocasi tool ke peristiwa model dan status otorisasi yang tepat yang menghasilkannya.