事件经过
在Black Hat 2026上，研究人员（Aviyam Ivgi、Hedi Ingber）披露了CoreBreak，这是一个结构性缺陷，其中工具执行和人工批准的强制执行点位于代理可被诱导编写的数据内部。当输入的消息历史中已包含工具调用或伪造的“已批准”事件时，执行框架会执行该工具或确认批准，而模型从未授权过这些操作，因此围绕模型设置的护栏被完全绕过。三家供应商均发布了紧急修复措施，将强制执行移至带外边界，而Redpanda的配套基准测试显示，仅基于提示规则和审查器模型的护栏也存在同等失败。
影响分析
这是一种新颖的代理执行攻击类别，且已有供应商补丁：它击败了业界的主要防御手段（围绕模型的提示/护栏），还允许攻击者消耗人类从未给出的批准。结合携带凭据的浏览器/代码解释器工具，注入的指令可以引导工具读取并外泄执行角色的云凭据。这是代理授权必须在代理外部强制执行的具体论据。
攻击途径
能够影响代理消息历史的攻击者（在检索/摄取内容中的间接提示注入）会提供一条消息，其最新条目已包含工具调用，因此执行框架会使用攻击者选择的参数执行该工具，而模型及所有护栏（系统提示、内容过滤器、拒绝训练）均未触发。第二种变体会在同一历史中伪造一个“已批准”的确认事件，从而使人工参与的批准步骤授权了一个无人见过的操作。
受影响系统
AWS Bedrock AgentCore（+ Strands SDK）通过CVE-2026-18830（CVSS 8.6）修复；Google Agent Development Kit通过CVE-2026-18236（CVSS 9.3）修复；Vercel AI SDK通过CVE-2026-64650和CVE-2026-64651修复。
缓解措施
应用AWS/Google/Vercel针对所列CVE的补丁，并采用带外策略执行（OBPE）：拒绝调用者生成的工具调用，在执行时针对攻击者无法篡改的状态授权工具，并将每次工具调用绑定到产生该调用的确切模型事件和授权状态。