Im normalen Ablauf eines Agenten übermittelt das Software Development Kit eine Nutzeranfrage zusammen mit System-Prompt, Gesprächsverlauf und den verfügbaren Werkzeugdefinitionen an das Modell. Das Modell entscheidet dann, ob ein Tool aufgerufen werden soll, und liefert eine strukturierte Anweisung mit Werkzeugnamen und Argumenten zurück. Erst danach führt das SDK den Aufruf aus. Nach Angaben von Hedi Ingber und Aviyam Ivgi fehlte in den betroffenen Implementierungen genau zwischen diesen beiden Schritten eine Prüfung der Herkunft: Laufzeitumgebungen akzeptierten Daten in Form eines Tool-Aufrufs als ausreichend autoritativ.
Bei AWS betrifft das laut Sicherheitsbulletin CVE-2026-18830 mit einem CVSS-v4.0-Wert von 8,6. Ursache sei eine unzureichende Eingabevalidierung im Amazon-Bedrock-AgentCore-Harness. Ein authentifizierter entfernter Nutzer konnte demnach im letzten Nachrichtenblock einer InvokeHarness-Anfrage einen Tool-Use-Inhalt platzieren. Die Ereignisschleife konnte das genannte Werkzeug dann direkt ausführen, ohne das Modell zu befragen.
AWS erklärt, dass der verwaltete InvokeHarness-Dienst vor dem 31. Juli 2026 betroffen war. Der Anbieter habe serverseitige Validierung ergänzt, die vom Aufrufer gelieferte Tool-Use-Blöcke zurückweist, bevor sie die Ereignisschleife erreichen. Diese Gegenmaßnahme wurde laut AWS automatisch aktiviert und erfordert kein Handeln der Kunden.
Davon unberührt bleibt laut den Forschern ein vergleichbarer Pfad im Open-Source-Code von Strands für Python, auf dem AgentCores Harness aufbaut. In der aktuellen event_loop.py prüft eine Hilfsfunktion namens _has_tool_use_in_latest_message, ob die letzte Nachricht einen Tool-Aufruf enthält. Trifft das zu, setzt die Ereignisschleife den Stoppgrund auf tool_use, übernimmt direkt die letzte Nachricht und überspringt die Modellausführung. The Hacker News bestätigte, dass dieser Zweig im Hauptzweig des Repositories noch vorhanden war. AWS habe dafür weder eine separate CVE noch einen Versionsbereich oder Patch-Hinweis für eigenständige Strands-Installationen veröffentlicht. Ingber und Ivgi zufolge verwies AWS hier auf das geteilte Verantwortungsmodell und änderte die Dokumentation statt des Codes.
Bei Google betrifft die erste Lücke CVE-2026-18236 mit einem CVSS-v4.0-Wert von 9,3 in ADK für Python vor Version 2.5.0. ADK erlaubt es Entwicklern, sensible Tools mit einer Bestätigungspflicht zu versehen. Ein Angreifer, der Sitzungsereignisse eines Agenten manipulieren oder einschleusen konnte, konnte diese Freigabe fälschen und so einen nicht autorisierten Tool-Aufruf auslösen. Laut Beschreibung prüfte der Bestätigungsprozessor nicht, ob das Zielwerkzeug zum ausführenden Agenten gehörte, ob es tatsächlich eine Bestätigung verlangte oder ob Name und Argumente mit dem ursprünglich in der Sitzung gespeicherten Aufruf übereinstimmten. Google hat diese Prüfungen ergänzt.
Zusätzlich lieferte Google in ADK 2.5.0, das am 16. Juli 2026 veröffentlicht wurde, eine zweite Korrektur aus. In wiederaufnehmbaren Abläufen akzeptierte ADK von Nutzern verfasste Ereignisse mit function_call-Bestandteilen, die als Anweisungen zum Start registrierter Tools interpretiert werden konnten. Google weist solche Funktionsaufrufe in nutzerverfassten Nachrichten nun zurück. Die Release Notes führen diesen Umgehungspfad getrennt von der Bestätigungsfälschung auf; die öffentliche CVE-Akte für CVE-2026-18236 deckt nur den zweiten Pfad ab.
Bei Vercel betreffen die Funde @ai-sdk/harness-codex bis einschließlich Version 1.0.28 als CVE-2026-64650 und @ai-sdk/harness-opencode bis einschließlich Version 1.0.27 als CVE-2026-64651. Beide Einträge tragen einen CVSS-v4.0-Wert von 6,3. Der Harness-Relay vertraute einem Prozess, wenn dessen Befehlszeile den Pfad eines freigegebenen Hilfsskripts enthielt. Bereits in der Linux-Sandbox laufender bösartiger Code konnte diese Prüfung erfüllen und Host-seitig bereitgestellte Werkzeuge anstoßen, darunter Secret-Abfragen, Deployment-Operationen und Cloud-API-Aufrufe, ohne ein vom Modell autorisiertes Ereignis.
Vercel entfernte diese Fallback-Prüfung auf den Prozesspfad. Der gepatchte Relay akzeptiert Anfragen nur noch, wenn sie einer exakten, kurzlebigen Einmal-Autorisierung für Werkzeugname und Eingabe entsprechen, die aus einem Modellereignis beobachtet wurde. The Hacker News bestätigte über das npm-Register, dass die behobenen Versionen am 10. Juli 2026 veröffentlicht wurden. Laut Vercel-Advisories und Googles Einordnung handelt es sich hier um fehlerhafte Autorisierung nach CWE-863; AWS klassifizierte seinen Fall als unzureichende Eingabevalidierung. Ingber und Ivgi betonen, dass es sich nicht um Prompt Injection handelt: Es gebe kein probabilistisches Modell, das überlistet werde, weil das Modell in diesen Pfaden gar keinen Zug erhalte.