무슨 일이 있었나
Black Hat 2026에서 연구원들(Aviyam Ivgi, Hedi Ingber)이 CoreBreak를 공개했습니다. 이는 도구 실행 및 인간 승인을 위한 시행 지점이 에이전트가 작성하도록 유도될 수 있는 데이터 내부에 있었던 구조적 결함입니다. 모델이 승인하지 않은 도구 호출이나 위조된 '승인' 이벤트를 이미 포함한 메시지 기록이 주입되면, 하네스는 모델의 승인 없이 도구를 실행하거나 승인을 확인하므로, 모델을 감싸는 가드레일이 완전히 우회됩니다. 세 공급업체 모두 시행을 대역외 경계로 이동시키는 긴급 수정을 배포했으며, Redpanda의 동반 벤치마크는 프롬프트 규칙 전용 및 검토자 모델 가드에서도 동등한 실패를 보여줍니다.
왜 중요한가
이것은 작동하는 공급업체 패치가 있는 새로운 에이전트 실행 공격 클래스입니다: 업계의 주요 방어선(모델을 감싸는 프롬프트/가드레일)을 무력화하고, 공격자가 인간이 승인한 적 없는 인간 승인을 소비할 수 있게 합니다. 자격 증명을 운반하는 브라우저/코드 해석기 도구와 결합하면, 주입된 지시가 도구를 조작하여 실행 역할의 클라우드 자격 증명을 읽고 유출시킬 수 있습니다. 이는 에이전트 권한 부여가 에이전트 외부에서 시행되어야 한다는 구체적인 주장입니다.
공격 경로
에이전트의 메시지 기록에 영향을 미칠 수 있는 공격자(검색/수집된 콘텐츠에서의 간접 프롬프트 주입)는 최신 항목에 이미 도구 호출이 포함된 메시지를 제공하므로, 하네스는 모델과 모든 가드레일(시스템 프롬프트, 콘텐츠 필터, 거부 훈련)이 전혀 발동하지 않는 상태에서 공격자가 선택한 인수로 도구를 실행합니다. 두 번째 변형은 동일한 기록에 위조된 '승인' 확인 이벤트를 삽입하여, 인간이 투입되는 승인 단계가 어떤 인간도 보지 못한 작업을 승인하도록 만듭니다.
영향받는 시스템
AWS Bedrock AgentCore (+ Strands SDK)는 CVE-2026-18830(CVSS 8.6)로 수정됨; Google Agent Development Kit는 CVE-2026-18236(CVSS 9.3)로 수정됨; Vercel AI SDK는 CVE-2026-64650 및 CVE-2026-64651로 수정됨.
완화 방안
나열된 CVE에 대한 AWS/Google/Vercel 패치를 적용하고 대역외 정책 시행(OBPE)을 채택하세요: 호출자가 작성한 도구 호출을 거부하고, 공격자가 작성할 수 없는 상태에 대해 실행 시점에 도구를 승인하며, 각 도구 호출을 이를 생성한 정확한 모델 이벤트 및 권한 부여 상태에 바인딩하세요.