AWSやGoogle、VercelのAIエージェント基盤に脆弱性、モデルを介さずに不正なツール実行が可能に

要点

• AWS、Google、Vercelが提供するAIエージェントの開発基盤に、深刻なセキュリティ上の脆弱性があることが判明した。
• 攻撃者はAIモデルの判定を経ることなく、エージェントに紐付けられた外部ツールを直接起動させることができる。
• AIモデルの実行そのものをバイパスするため、システムプロンプトや安全用のコンテンツフィルタなどの制限機能が全く作動しない。
• 脆弱性は「CoreBreak」と名付けられ、各社はすでにマネージドサービスの修正やアップデート版の配信などの対応を行っている。
• 被害の規模は対象のエージェントに付与されている権限に依存し、機密ツールと連携していない場合は実質的な被害は生じない。

リード文

セキュリティ企業Stealthの共同創業者であるHedi Ingber氏とAviyam Ivgi氏は、2026年8月に開催されたセキュリティカンファレンス「Black Hat USA 2026」にて、主要なAIエージェント開発インフラに共通する脆弱性パターンを発表した。この脆弱性は「CoreBreak」と命名され、Amazon Web Services（AWS）、Google、Vercelの各ツール連携機能に影響を与える。攻撃者がこの欠陥を悪用すると、AIモデルを一度も起動させることなく、エージェントが持つ外部操作ツールを直接実行できるという。

本文

脆弱性のメカニズム：検証プロセスの欠如

AIエージェント（特定のタスクを自律的に実行するAIプログラム）の標準的な処理フローにおいて、SDK（ソフトウェア開発キット）はユーザーの指示や会話履歴、利用可能なツールの定義などをAIモデルに送信する。モデルはその情報をもとにツールを呼び出すべきかを判断し、ツールの名前と実行に必要な引数を含む構造化データをSDKに返却し、SDKがそれを実行する。

しかし、今回指摘された脆弱性では、モデルがツール呼び出しを決定してから実際にツールが実行されるまでの最終ステップにおいて、データのプロベナンス（生成元や正当性を示す出所情報）が検証されていなかった。そのため、ランタイム（プログラムを実行する環境）は、モデルが生成したかのように偽装されたツール呼び出しデータをそのまま正しいものとして受け入れ、処理を実行してしまったという。

この経路を突くことで、攻撃者はAIモデルをだましてルールを破らせる必要すらなく、正当なモデルの処理プロセスを経由せずにツールの実行や承認のパスに到達することが可能になる。モデルそのものが作動しないため、開発者が設定したシステムプロンプトやコンテンツフィルタ、モデルレベルのガードレール（安全対策用の制御機能）も一切介入する機会がない。

各社の影響を受ける製品と対策状況

この脆弱性パターンは複数のプラットフォームで確認されており、それぞれ攻撃の条件や修正状況が異なる。

AWS（Amazon Bedrock AgentCore）

AWSの「Amazon Bedrock AgentCore」に備わる「InvokeHarness API」において、入力検証が不十分である脆弱性（CVE-2026-18830、CVSS v4.0スコア：8.6）が特定された。認証されたリモートユーザーが送信メッセージの最後にツール使用を示すコンテンツブロックを挿入すると、イベントループ（出来事を監視して処理を順次実行する仕組み）がモデルに問い合わせることなく、指定されたツールを直接実行してしまう状態にあった。

AWSはこの問題を2026年7月31日までにマネージドサービス（事業者がインフラの運用管理を行うサービス）側で修正した。サーバー側で呼び出し元から提供されたツール使用ブロックをイベントループに到達する前に拒否する検証機能を追加しており、利用者が対策を行う必要はない。

一方で、研究者らによると、AgentCoreの基盤となっているオープンソースのPythonコード「Strands」には同様のモデル回避パスが残っているという。Strandsのソースコード内には、最新メッセージにツール使用が含まれている場合にモデルの呼び出しをスキップしてツールを実行する分岐が存在しており、2026年8月5日時点でもこの処理は削除されていない。AWSはStrandsの単体展開向けにはコード修正を行わず、信頼できない送信元からの会話履歴を直接イベントループに渡さないよう開発者に求めるドキュメントの改定による注意喚起で対応している。

Google（Agent Development Kit for Python）

Googleの「Agent Development Kit（ADK）for Python」にも脆弱性（CVE-2026-18236、CVSS v4.0スコア：9.3）が存在することが明らかになった。この問題は、攻撃者が制御するセッションイベントや、ユーザー自身が記述した関数呼び出しを利用することで引き起こされる。Googleはこの問題に対処するため、ADKのバージョン2.5.0をリリースしている。

Vercel（Vercel AI SDK）

Vercelが提供するコーディングエージェント「Codex」および「OpenCode」向けのハーネスパッケージにおいて脆弱性が発見された。この脆弱性の悪用には、すでにLinuxのサンドボックス（セキュリティのために用意された隔離空間）内で信頼できないコードが実行されている状態である必要がある。Vercelは「@ai-sdk/harness-codex」のバージョン1.0.29および「@ai-sdk/harness-opencode」のバージョン1.0.28でこの問題を修正した。

潜在的な被害の範囲

今回の脆弱性による影響範囲は、それぞれのエージェントが事前に紐付けられ、実行を許可されているツールの権限に完全に依存する。エージェントが機密情報へのアクセスや危険なシステム操作を行うツールと接続されていない場合、攻撃者がこの脆弱性を悪用しても得られるメリットはないと説明されている。