Lỗ hổng agent runtime của AWS, Google và Vercel cho phép gọi công cụ không qua mô hình
"Security flaws in agent runtimes from AWS, Google, and Vercel allowed attacker-controlled or forged tool-call data to reach execution paths without a validating model turn. AWS fixed the managed Bedrock AgentCore InvokeHarness API, Google patched ADK for Python in 2.5.0, and Vercel updated its harness packages to block the issue; the impact is limited to the tools an affected agent can already access."
Ảnh hưởng đến tính toàn vẹn của luồng gọi công cụ, có thể dẫn tới thực thi hành động trái phép nếu agent được cấp quyền cao. Mức độ rủi ro phụ thuộc vào công cụ mà agent đã truy cập.
Có thể gây lạm dụng tự động hóa, thực thi tác vụ ngoài ý muốn và tăng nhu cầu rà soát cấu hình agent. Tác động vận hành chủ yếu nằm ở các hệ thống dùng agent có quyền truy cập công cụ nhạy cảm.
Các nghiên cứu bảo mật cho thấy AWS, Google và Vercel đều có lỗi trong agent runtime khiến dữ liệu gọi công cụ do kẻ tấn công kiểm soát hoặc giả mạo có thể đi thẳng tới bước thực thi, mà không cần một lượt chạy mô hình để xác thực. Trong các đường tấn công này, system prompt, content filter và các guardrail ở mức mô hình không có cơ hội can thiệp.
Ảnh hưởng cụ thể khác nhau theo từng nền tảng. Amazon Bedrock AgentCore InvokeHarness API đã được AWS vá; Google ADK for Python được sửa trong 2.5.0; còn Vercel cập nhật các gói @ai-sdk/harness-codex 1.0.29 và @ai-sdk/harness-opencode 1.0.28. AWS gắn lỗi với CVE-2026-18830 và điểm CVSS 8.6; Google có CVE-2026-18236 với điểm CVSS 9.3.
Tác động thực tế bị giới hạn bởi các công cụ mà agent đã được cấp quyền. Tuy vậy, nếu agent có quyền truy cập vào công cụ nhạy cảm, kẻ tấn công có thể lợi dụng để thực thi hành động ngoài ý muốn.
Khuyến nghị: cập nhật phiên bản đã vá, không cho phép caller sửa lịch sử hội thoại có cấu trúc, kiểm tra lại luồng tool-call approval, và xác minh rằng mọi gọi công cụ đều có bằng chứng từ lượt chạy mô hình hợp lệ trước khi thực thi.