AWS e Vercel anunciaram a correção de vulnerabilidades consideradas críticas em suas plataformas de agentes de inteligência artificial, falhas que permitiam a execução de ferramentas sem a devida autorização do próprio modelo de IA. Em termos práticos, um invasor poderia acionar comandos sensíveis contornando a etapa em que o agente analisa, decide e aprova a ação – justamente o coração da lógica de segurança desses sistemas.
Esses problemas se encaixam em um padrão de ataque conhecido como CoreBreak. Nesse modelo, a infraestrutura que faz a orquestração dos agentes interpreta uma chamada de ferramenta enviada pelo usuário como se fosse uma ação genuinamente produzida e autorizada pelo agente de IA. Ou seja, o sistema assume que, se há uma “tool call” na requisição, ela é legítima – mesmo quando, na prática, ela foi injetada de fora, de forma maliciosa.
No ecossistema da AWS, a falha foi catalogada como CVE-2026-18830 e afetava a API InvokeHarness do Amazon Bedrock AgentCore. Um usuário autenticado podia manipular a requisição e acrescentar, ao final dela, uma chamada especialmente construída para acionar diretamente ferramentas expostas no ambiente. Assim, em vez de o modelo deliberar sobre a execução, a infraestrutura aceitava a chamada como se fosse parte do fluxo normal do agente.
No caso da Vercel, o cenário era diferente, mas o resultado prático também abria espaço para abusos. Duas vulnerabilidades, registradas como CVE-2026-64650 e CVE-2026-64651, permitiam que código em execução dentro de uma sandbox Linux atravessasse essa barreira lógica e alcançasse ferramentas disponíveis no sistema hospedeiro. Em outras palavras, a divisão entre o ambiente isolado do agente e os recursos do host podia ser rompida, ampliando significativamente a superfície de ataque.
O impacto desse tipo de falha varia de acordo com as permissões configuradas e com o conjunto de ferramentas liberadas para o agente de IA. Em configurações mais permissivas, um invasor poderia ler segredos armazenados no ambiente, interagir com APIs de nuvem e até disparar ações relacionadas a pipelines de implantação. Em sistemas voltados a desenvolvimento assistido por IA, isso aumentava o dano potencial de qualquer código malicioso processado pelos agentes de programação.
Até o momento, não há confirmação pública de que essas vulnerabilidades tenham sido exploradas em ataques no mundo real. Ainda assim, o simples fato de que a cadeia de confiança entre agente, infraestrutura e ferramentas pôde ser quebrada liga um alerta importante para empresas que vêm acelerando a adoção de agentes de IA em fluxos críticos de negócio, DevOps e atendimento.
A correção por parte de AWS e Vercel é apenas um dos passos necessários. Organizações que utilizam agentes de IA precisam revisar rapidamente suas integrações e modelos de permissão. Recomenda-se atualizar todos os componentes afetados, limitar ao máximo o conjunto de ferramentas disponibilizadas aos agentes e tratar históricos de conversas, logs de eventos e chamadas externas como entradas potencialmente hostis – e não como dados confiáveis por padrão.
Um ponto central que essas falhas evidenciam é que a segurança em sistemas de IA não se resume à robustez do modelo em si, mas à forma como ele é conectado com o restante da infraestrutura. Agentes de IA, por definição, são projetados para tomar decisões e acionar ferramentas em nome do usuário. Se a camada que recebe as requisições se confunde entre o que foi produzido pelo modelo e o que foi injetado de fora, abre-se espaço para uma categoria inteira de ataques de orquestração.
O padrão CoreBreak, nesse contexto, mostra que atacar agentes de IA vai muito além do já conhecido prompt injection. Em vez de apenas manipular o “texto” que o modelo lê, o invasor tenta interferir diretamente na linguagem de ferramentas (tool calls) e na forma como a plataforma interpreta essas chamadas. Ao conseguir emular ou anexar uma chamada de ferramenta crível, o atacante induz a infraestrutura a pular etapas de validação e controle de acesso.
Para reduzir esse risco, boas práticas começam pela separação rígida entre o canal de entrada de dados do usuário e o canal em que o agente de IA emite instruções para o sistema. A plataforma deve ser capaz de distinguir, de maneira inequívoca, o que é conteúdo de usuário e o que é saída gerada pelo modelo. Em paralelo, é essencial implementar camadas adicionais de autorização: mesmo que uma chamada de ferramenta apareça na requisição, ela não deveria ser aceita sem passar por verificações de contexto, identidade e escopo.
Outra medida importante é aplicar o princípio de menor privilégio às ferramentas disponíveis para os agentes. Em vez de conceder acesso amplo a APIs de nuvem, segredos e recursos de implantação, as empresas devem criar papéis extremamente restritos, específicos para uso por agentes, com controles de auditoria e monitoramento em tempo real. Isso reduz o impacto caso alguma falha de orquestração seja descoberta no futuro.
Do ponto de vista de desenvolvimento seguro, equipes que constroem produtos baseados em agentes de IA precisam incorporar testes de segurança focados nessas novas superfícies de ataque. Isso inclui simular chamadas de ferramenta malformadas ou injetadas, tentar escapar de sandboxes e validar se a plataforma consegue diferenciar adequadamente comandos legítimos daqueles que chegaram manipulados na requisição.
Essas vulnerabilidades também dialogam com uma tendência mais ampla no cenário de segurança: a convergência entre segurança de aplicações web tradicionais e segurança de sistemas de IA. Muitas organizações estão expondo agentes diretamente em interfaces web, painéis administrativos e integrações com pipelines de CI/CD. Uma falha de controle em um agente pode, assim, se transformar rapidamente em um vetor para comprometer toda a cadeia de desenvolvimento e implantação.
Outro aspecto crítico é a gestão de logs e históricos de conversas. Embora esses dados sejam valiosos para treinar e melhorar agentes, eles também podem se tornar um vetor de ataque se forem reutilizados automaticamente como contexto em novas sessões. Entradas antigas, contendo chamadas de ferramenta ou comandos sensíveis, não deveriam ser “reaplicadas” cegamente sem uma sanitização rígida e sem controles para impedir que se transformem em gatilhos para ações inesperadas.
Empresas que estão apenas iniciando a adoção de agentes de IA podem aproveitar incidentes como esse para desenhar suas arquiteturas com segurança em mente desde o começo. Isso inclui documentar claramente quais ferramentas cada agente pode acionar, definir limites de escopo (como dados e sistemas aos quais ele jamais deve ter acesso) e criar processos de revisão para qualquer mudança de permissão ou inclusão de novas integrações.
Por fim, essas correções enviam um recado importante para o mercado: provedores de nuvem e plataformas de desenvolvimento de IA precisam tratar a camada de orquestração de agentes com o mesmo rigor aplicado a serviços críticos de infraestrutura. À medida que agentes de IA passam a decidir, automatizar e implantar mudanças em ambientes de produção, cada vulnerabilidade nesse elo de confiança deixa de ser apenas um bug técnico e passa a representar um risco direto para operações de negócio, governança de dados e continuidade de serviços.