LONDON (IT BOLTWISE) – Sicherheitslücken in Agent-Infrastrukturen bei AWS, Google und Vercel lassen Tool-Calls an Agenten-Werkzeuge durchreichen, ohne dass zuvor ein legitimer Modell-Run stattfindet. In mehreren Pfaden kann die Laufzeit Daten annehmen, die wie vom Modell generierte Tool-Aufrufe aussehen, und sie dann ohne Validierung ausführen. Betroffen sind unter anderem Amazon Bedrock AgentCore, Googles Agent Development Kit für Python sowie Vercels AI-SDK-Harness-Pakete. Die Updates reduzieren das Risiko, indem sie Tool-Calls an bestätigte Ereignisse und autorisierte Argumente binden.
Wenn ein Agent einen Tool-Call ausführen soll, ist das für die meisten Systeme ein zweistufiger Ablauf: Erst entscheidet das KI-Modell anhand der Eingaben, ob ein Werkzeug überhaupt gebraucht wird, dann setzt die SDK- oder Laufzeitlogik die Werkzeuganweisung um. Genau hier setzen die jetzt beschriebenen Schwachstellen an: In mehreren Implementierungen reicht bereits die Form eines „Tool-Call“-ähnlichen Datenpakets aus, damit die Dispatch- oder Autorisierungsstrecke greift, ohne dass eine Modellturn tatsächlich stattfindet. Die Folge ist weniger ein klassisches „Prompt-Injection“-Problem, sondern ein Authentizitätsfehler in der Übergabe zwischen Modellentscheidung und Ausführung. Besonders brisant ist dabei die Idee „Model Skip“: Systemprompts, Content-Filter und Modell-Guardrails können schlicht nicht eingreifen, wenn die Laufzeit am Modell vorbei direkt in die Werkzeugausführung läuft.
Die betroffenen Komponenten zeigen, wie unterschiedlich solche Pfade entstehen können. Bei Amazon wird eine Variante über die Amazon Bedrock AgentCore InvokeHarness API beschrieben, bei der ein authentifizierter Remote-Requester in einer finalen Nachricht einen Tool-Use-Block einschleusen kann. Die Event-Loop kann diesen dann ohne erneute Modellentscheidung direkt an das genannte Werkzeugdispatchen. Die Sicherheitsbewertung ordnet die Lücke als CVE-2026-18830 ein; der CVSS v4.0-Score wird mit 8,6 angegeben. Amazon hat für den verwalteten Service serverseitig eine Validierung ergänzt, die caller-supplied Tool-Use-Blöcke vor dem Eintritt in die Event-Loop zurückweist; eine Kundenaktion sei dafür nicht nötig. Gleichzeitig bleibt ein zweiter Pfad relevant: Für standalone Deployments von Strands (Python) wird berichtet, dass eine Abkürzung im Open-Source-Event-Loop-Flow Tool-Use in der „letzten Nachricht“ erkennt und dann explizit die Modellinvokation überspringt. In der Beschreibung wird eine Hilfsfunktion namens _has_tool_use_in_latest_message erwähnt, die bei Treffer die Stop-Reason auf „tool_use“ setzt, die neueste Nachricht direkt übernimmt und damit den Modell-Run umgeht.
Wichtig ist: Nicht jede Strands-Anwendung ist damit automatisch remote exploitable. Die Exposition hängt davon ab, ob ein angreifender Client untrusted callers in die Lage versetzen kann, strukturierte Konversationsnachrichten so zu platzieren, dass sie genau an der Stelle landen, die die Event-Loop als „latest message“ konsumiert. Dazu gehören Szenarien wie das Einspeisen untrauenswürdiger ToolUse-Blöcke, das Manipulieren von gespeicherten Verlaufshistorien oder das Verändern, welche Inhalte nach einem Interrupt wieder „fortgesetzt“ werden. Laut den Forschern sei der genaue Umgang hier Teil des Shared-Responsibility-Modells: Für Strands selbst existiere kein separat ausgewiesener CVE-Patch im Sinne einer universellen Codekorrektur, sondern es habe eine Dokumentationsanpassung gegeben, die auf „Trusted Message History“ fokussiert. Das Kernprinzip dahinter ist pragmatisch: Entwickler sollen die Message History aus ihrer eigenen Anwendung ableiten, statt sie aus Eingaben zu konstruieren, die ein externer Caller formen kann.
Googles Probleme in ADK für Python treten in zwei eng verwandten, aber unterschiedlich konfigurierten Pfaden auf. Der erste Fall wird als CVE-2026-18236 geführt und erhält einen CVSS v4.0-Score von 9,3. ADK erlaubt Entwicklern, sensible Tools mit einer Bestätigungsschicht zu versehen, die den Tool-Call bis zur Freigabe durch eine Person stoppt. Das Risiko entsteht, wenn ein Angreifer Session-Events oder Agent-Session-Historie so beeinflussen kann, dass eine „Approval“ gefälscht wird. Entscheidend ist dabei, dass der Confirmation-Processor zuvor nicht konsistent prüfte, ob das freizugebende Werkzeug tatsächlich zum laufenden Agent gehörte, ob es überhaupt „confirmation required“ war und ob Werkzeugname sowie Argumente mit dem ursprünglich im Session-Verlauf aufgezeichneten Aufruf übereinstimmen. Der zweite Fix kommt ebenfalls mit ADK 2.5.0: In einem „resumable-mode“-Flow konnten user-authored Events Function-Call-Teile enthalten, die als direkte Anweisungen zur Ausführung registrierter Tools interpretiert wurden. In der Beschreibung wird das als Bypass klassifiziert, weil die Laufzeit damit an der LLM-Entscheidung vorbeigeht. Google lehnt in dem Patch Function Calls in nutzerverfassten Nachrichten ab; zusätzlich wird betont, dass für continuation forgery nur ein CVE-Record öffentlich als Umbrella-Label taugen sollte und nicht automatisch den resumable-mode-Fall abdeckt.
Bei Vercel verschiebt sich das Bedrohungsmodell von remote zu lokal im Sandbox-Kontext. Betroffen seien Harness-Pakete für Codex- und OpenCode-Agenten: @ai-sdk/harness-codex in Version 1.0.28 und @ai-sdk/harness-opencode in Version 1.0.27. Die zugehörigen CVE-Einträge werden als CVE-2026-64650 (Codex) und CVE-2026-64651 (OpenCode) genannt, beide mit CVSS v4.0-Score 6,3. Der Kernfehler liegt im „Relay“-Mechanismus: Die Harness-Relay-Schicht vertraute einer Prozessprüfung anhand des Kommandozeilenpfads eines genehmigten Helper-Skripts. Wenn bereits bösartiger Code innerhalb der Linux-Sandbox läuft, kann er diese Bedingung erfüllen, den host-exposed Tool-Teil dennoch triggern und dabei ohne korrespondierendes, vom Modell autorisiertes Ereignis auf Aktionen zugreifen – inklusive Secret-Lookups, Deployment-Schritte und Cloud-API-Aufrufe. Vercel soll den Prozesspfad-Fallback entfernt und die Autorisierung an eine exakte, kurzlebige Einmalfreigabe gebunden haben, die an Toolname und beobachtete Eingaben aus einem Modellereignis gekoppelt ist.
Für die Praxis ergibt sich aus den drei Fällen ein gemeinsames Kontrollziel: Die Ausführungslogik darf nicht allein aus der Form eines Tool-Call-ähnlichen Inputs ableiten, dass dieser wirklich durch einen autorisierten Modellturn entstanden ist. In den Beschreibungen wird daher auch immer derselbe Abgleichmechanismus herausgestellt, nur umgesetzt in unterschiedlichen Schichten: Google prüft, dass Bestätigungen zu Werkzeug und Argumenten passen, die im Session-Verlauf aufgezeichnet wurden. Vercel bindet Relay-Requests an eine einmalseitige Autorisierung, die sich an genau ein beobachtetes Modellereignis knüpft und danach wieder verfällt. AWS ergänzt auf der verwalteten Service-Seite Validierungen, die caller-supplied Tool-Use-Blöcke zurückweisen, bevor sie überhaupt in die Event-Loop gelangen. So werden Tool-Calls wieder an den „richtigen“ Kontext gebunden – und die zentrale Schwachstelle bleibt dort, wo sie hingehört: an eine echte Modellentscheidung, nicht an ein Datenformat, das wie eine Modellantwort aussieht.
Für Unternehmen heißt das im Sicherheitsalltag vor allem: Updates einspielen und das eigene Integrationsdesign gegen „untrusted tool-use“ absichern. Konkret werden in der Meldung folgende Mindeststände genannt: Google ADK für Python auf 2.5.0 oder später, Vercel @ai-sdk/harness-codex auf 1.0.29 oder später und @ai-sdk/harness-opencode auf 1.0.28 oder später. Daneben bleibt die Architekturentscheidung entscheidend, insbesondere wenn Agents in eigenen Pipelines oder mit „resumable“/Interrupt-Mechanismen betrieben werden. Teams sollten Tool-Aufrufe an die exakten Model-Events binden, die Toolname-Argument-Paare konsistent wiedervalidieren und jede Konversationskomponente, die über externe Grenzen kommt, als untrusted behandeln. Schließlich hilft auch „Authority Reduction“: Ein Agent sollte nur die Werkzeuge und Rollen besitzen, die er für seine Aufgabe benötigt. Damit verkleinert sich die Schadenwirkung, falls ein Tool-Call dennoch in eine Ausführungsstrecke gelangt.
Offen bleibt nach der Beschreibung, ob einzelne Pfade bereits in produktiven Umgebungen missbraucht wurden, bevor die Patches verfügbar waren. Die Forscher berichten zudem, dass sie Proof-of-Concept-Code an die betroffenen Vendors geschickt, ihn aber nicht öffentlich veröffentlicht hätten. Für Sicherheitsverantwortliche ist das dennoch ein klarer Hinweis auf eine wiederkehrende Schwachstellenklasse: Wenn die Ausführungsebene Tool-Calls zu früh als „authoritative“ behandelt, reicht ein fehlerhaftes Vertrauen in die Übergabe zwischen Modell und Runtime, um Guardrails auszuschalten. Genau diese Lücke adressieren die drei Updates durch denselben Gedanken: Tool-Calls müssen zur Laufzeit nachvollziehbar aus einem autorisierten Modellturn hervorgehen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "AWS, Google und Vercel: Agenten-Toolcalls ohne Modellprüfung öffnen Angriffswege" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "AWS, Google und Vercel: Agenten-Toolcalls ohne Modellprüfung öffnen Angriffswege" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »AWS, Google und Vercel: Agenten-Toolcalls ohne Modellprüfung öffnen Angriffswege« bei Google Deutschland suchen, bei Bing oder Google News!