AIエージェント基盤に脆弱性、モデル未経由でツール起動可能
- AWS・Google・VercelのAIエージェント基盤で、モデルを経由せずツール実行を可能にする脆弱性が発覚
- 偽装した「ツール呼び出し」データを本物とみなし実行、システムプロンプトやガードレールが機能しない
- AWSは管理サービスを修正済みだが、オープンソースのStrandsは文書化のみで未修正
かんたんに言うと
AIエージェントを動かす仕組みに、AIの判断を通さずに機密操作を実行できる欠陥が見つかりました。自社でAIエージェントを使う企業は、使用製品が対象か確認し、提供元の修正版へ更新する必要があります。
AIセキュリティとの関連: AIエージェント基盤自体の欠陥で、モデルを経由せず攻撃者がツールを起動できる点が新しい脅威
何が起きたか
セキュリティ研究者のHedi Ingber氏とAviyam Ivgi氏(Stealth共同創業者)は、Black Hat USA 2026でAWS・Google・Vercelのエージェント基盤に共通する脆弱性パターン「CoreBreak」を発表したと報じられている。通常、AIエージェントはモデルがツール呼び出しを判断し、SDKがそれを実行する。しかし脆弱な実装では、モデルが生成したはずのツール呼び出しデータの出自を検証していなかった。攻撃者はモデルの判断を経由せず、直接ツール実行の経路に到達できた。影響を受けたのはAWS Bedrock AgentCoreのInvokeHarness API、Googleのエージェント開発キット(ADK)for Python、VercelのAI SDKハーネス(Codex・OpenCode向け)。AWSは管理サービス側を修正、GoogleはADK 2.5.0で対応、Vercelは該当パッケージの新バージョンで修正した。
誰に・どう影響するか
中小企業では、自社開発のAIエージェントよりもクラウド提供のマネージドサービスを利用するケースが多く、AWSやGoogleの修正が自動適用される場合は追加対応が少ない。ただしAWSのオープンソースフレームワークStrandsを直接組み込んでいる場合は、修正版ではなく開発者向けの注意文書のみが提供されており、自社での対応が必要となる。大企業やAIエージェントを独自構築している開発チームでは、Vercelのケースのようにサンドボックス内で信頼していないコードを実行する構成が影響を受けやすい。いずれの脆弱性も、エージェントが機密性の高いツール(シークレット管理、デプロイ操作、クラウドAPI呼び出しなど)に接続されている場合にリスクが高まる。
今すぐやるべきアクション
- 自社で使用するAIエージェント基盤(AWS Bedrock AgentCore、Google ADK、Vercel AI SDK)のバージョンを確認する
- Google ADKはPython版2.5.0以降へ、Vercelは@ai-sdk/harness-codex 1.0.29以降・@ai-sdk/harness-opencode 1.0.28以降へ更新する
- AWS StrandsをOSSとして直接利用している場合、公式の「Trusted Message History」文書を確認し、外部入力から会話履歴を構築しないよう設計を見直す
- エージェントに接続する機密ツールの権限を最小限に絞り、影響範囲を限定する
- セッションイベントや会話履歴を外部から改変・注入できる経路がないか、自社の実装を点検する
重大度の判定理由
重大度「高」: CVSS最大9.3、複数大手クラウドに影響。悪用確認は未報告だが認証済み経路等で実行可能な条件がある