Falhas em infraestrutura de agentes da AWS, Google e Vercel permitiam acionar ferramentas sem que o modelo de IA fosse executado
Pesquisadores encontraram quatro vulnerabilidades na camada de orquestração de agentes de IA da AWS, Google e Vercel que permitiam a um atacante injetar chamadas de ferramenta forjadas diretamente no runtime, sem que o modelo de linguagem jamais processasse ou autorizasse a ação. Como o modelo nunca chega a rodar, toda a camada de segurança que depende dele — filtros de conteúdo, guardrails, system prompts — simplesmente não entra em ação. Os quatro CVEs, com CVSS de até 9.3, já foram corrigidos pelos fornecedores.
As falhas foram encontradas em quatro produtos distintos: o Amazon Bedrock AgentCore InvokeHarness API (CVE-2026-18830, CVSS 8.6), o Google ADK Python (CVE-2026-18236, CVSS 9.3) e dois pacotes da Vercel, @ai-sdk/harness-codex (CVE-2026-64650) e @ai-sdk/harness-opencode (CVE-2026-64651), ambos CVSS 6.3. Apesar de arquiteturas diferentes, as quatro compartilham a mesma classe de defeito.
O fluxo normal de um agente é: a requisição vai ao modelo, o modelo devolve uma instrução estruturada dizendo qual ferramenta chamar e com quais parâmetros, e um executor então invoca essa ferramenta. As falhas estavam nessa ponte entre a saída do modelo e a execução real: o runtime aceitava blocos formatados como "chamada de ferramenta" sem verificar se eles de fato vieram de um turno de inferência legítimo do modelo. No caso do ADK do Google, havia dois caminhos de exploração — falsificação de uma confirmação de execução e um modo "resumível" de sessão que aceitava chamadas originadas do próprio usuário como se fossem do modelo. No caso da Vercel, código rodando dentro do sandbox do agente conseguia invocar ferramentas hospedadas sem qualquer evento de modelo associado.
O ponto central é que isso quebra a premissa básica de segurança usada hoje para agentes de IA: a ideia de que o modelo é o portão de decisão, e que guardrails e políticas de conteúdo interceptam pedidos perigosos antes de uma ação ser tomada. Quando um atacante consegue inserir uma "chamada de ferramenta" sem passar por esse portão, toda a camada de segurança construída em cima do comportamento do modelo deixa de existir — não é um jailbreak que engana o modelo, é uma falsificação que o ignora inteiramente. No caso da AWS, isso podia ser feito por um usuário remoto autenticado; na Vercel, por código malicioso já dentro do próprio sandbox de execução do agente.
Os três fornecedores já corrigiram: a AWS no serviço gerenciado em 31 de julho de 2026, o Google atualizando o ADK para a versão 2.5.0 em 16 de julho, e a Vercel lançando patches em 10 de julho que removem verificações frágeis baseadas em caminho de processo e passam a usar autorizações assinadas por HMAC, vinculando criptograficamente cada chamada de ferramenta ao turno específico do modelo que a autorizou. Esse padrão — amarrar cada ação executável a uma prova criptográfica de origem, em vez de confiar na estrutura do payload — tende a se tornar referência para outros frameworks de agentes que ainda tratam a fronteira modelo-executor como implicitamente confiável.