何が起きたか
Black Hat 2026において研究者（Aviyam Ivgi、Hedi Ingber）がCoreBreakを公開した。これは、ツール実行と人間の承認のための強制実行ポイントが、エージェントが誘導されて作成する可能性のあるデータ内部にあったという構造的な欠陥である。モデルが承認することなく、ツール呼び出しや偽造された「承認済み」イベントを既に含むメッセージ履歴を投入されると、ハーネスはツールを実行するか承認を確認し、モデルを囲むガードレールは完全に迂回される。3社すべてが、強制実行を帯域外境界に移動させる緊急修正をリリースし、Redpandaの付随ベンチマークは、プロンプトルールのみのガードとレビュアーモデルガードでも同等の失敗を示している。
なぜ重要か
これは新規のエージェント実行攻撃クラスであり、ベンダーパッチが適用済みである。業界の主要な防御（モデルを囲むプロンプトルール/ガードレール）を打ち負かし、攻撃者は人間が与えていない人間の承認を消費することもできる。資格情報を保持するブラウザ/コードインタープリターツールと組み合わせると、注入された命令はツールを誘導して実行ロールのクラウド資格情報を読み取り、外部に持ち出すことができる。これは、エージェントの認可がエージェントの外部で強制されなければならないという具体的な論拠である。
攻撃経路
エージェントのメッセージ履歴に影響を与えられる攻撃者（取得/取り込まれたコンテンツへの間接プロンプトインジェクション）は、最新のエントリが既にツール呼び出しを含むメッセージを提供し、ハーネスはモデルとすべてのガードレール（システムプロンプト、コンテンツフィルター、拒否トレーニング）が発火することなく、攻撃者が選択した引数でツールを実行する。2つ目の変種は、その同じ履歴に偽造された「承認済み」確認イベントを偽造し、人間が介在する承認ステップが人間が見ていないアクションを承認する。
影響を受けるシステム
AWS Bedrock AgentCore（+ Strands SDK）はCVE-2026-18830（CVSS 8.6）で修正。Google Agent Development KitはCVE-2026-18236（CVSS 9.3）で修正。Vercel AI SDKはCVE-2026-64650およびCVE-2026-64651で修正。
緩和策
記載されたCVEに対するAWS/Google/Vercelのパッチを適用し、帯域外ポリシー強制（OBPE）を採用する。呼び出し元が作成したツール呼び出しを拒否し、攻撃者が作成できない状態に対して実行時にツールを認可し、各ツール呼び出しをそれを生成した正確なモデルイベントと認可状態にバインドする。