一个提示符可以影响AWS账户中的所有AI名代理人.

标签描述: 字体的类型是什么? (Meta description) Zenity Labs 在 Amazon Bedrock AgentCore 中发现一连串的缺陷,使得一个公共代理人可以交出凭证并接管同一 AWS 账户和地区的所有代理人.

标签: 一个字母,一个字符号. (TG) " Amazon Bedrock AgentCore AI 代理安全性 Zenity Labs, AWS 信任证,即时注射

Zenity Labs 的安全研究人员说,运行在 Amazon Bedrock AgentCore 上的单个公开可访问 AI 代理足以控制同一 AWS 帐户和区域中的所有其他 AgentCore 代理.该公司称之为"AgentCorruption"的漏洞链允许攻击者只能通过聊天访问一个公共代理来阅读私人对话,复制源代码并收集存储的凭据.

该发现超出了一个平台.AgentCore是 AWS'用于运行企业 AI代理的管理环境,具有工具,内存和访问管理,并 AWS已经向所有企业开放了它,其中包括索尼和爱立信在内的用户.该集显示了方便首要的默认配置如何快速地将一个有用的助理转化为整个云环境的入口点.

背景:AgentCore应该如何工作

AgentCore为代理提供了三个使其有用的东西:行动工具,记忆保持上下文和身份管理对其他服务进行认证.

AWS 工作负载通常从 Instance Metadata Service (IMDS) 在内部地址 169.254获得临时凭据.这些凭据让工作负荷假装它运行的实例.一个 AI 代理永远不能到达该端点,因为任何捕获凭证的东西都可以在任何地方充当实例

发展:从一个快速到区域范围的接管

根据该公司的技术写作,代理缺乏与元数据服务的适当隔离.在简单语言中被要求查询该服务并将结果转发给外部服务器时,代理遵守了规定".我们应该对抗的沙箱边界根本不存在",研究人员写道.

该响应包含了代理的全部临时 AWS 凭据,包括访问密钥和会话令牌,以及内部 AWS 服务的证书和关键材料以及研究人员帐户之外的S3内存预先签名的URL.这些凭据来自研究员自己的机器,因此不再需要代理.Zenity表示删除网络工具将不会封闭漏洞,因为缺陷存在于平台中;该团队还通过命令行工具重现了攻击.

链中的下半部分是权限.AgentCore的默认执行角色并不局限于接收它的代理.它适用于同一帐户和区域内的每个代理,具有读取,写入和删除权利.自动化脚本列出了所有代理,拉出他们的容器图像并在几秒钟内复制源代码.由于这些包通常携带被遗忘的密码和API钥匙,攻击者可以从公共客户服务代理转向内部财务代理.研究人员还可以阅读用户与代理之间的每一次私人对话,并且对于启用长期存储器的代理来说,植栽指令将未来对话重定向到外部目的地.

最新:什么 AWS 变化,以及何时

据Zenity说,它在12月25日向AWS报告了这一发现,2025之后将IMDSv2 (攻击依赖的元数据服务的硬化版本) 作为新的AgentCore部署的默认.根据Zenitys更新帐户,8月左右 AWS,还修改了Agentcore的默認执行角色,使代理不再可以调用其他代理人,阅读私人对话或从AWS Secrets Manager中检索凭证.其他的权限也受到限制.

Zenity仍然建议公司定义具有更狭窄访问权限的自定义角色,并指出它为AI代理商销售安全平台,这使其在这个研究领域产生了商业利益. Zenity CTO Michael Bargury 构建了潜在的紧张局势:"云安全是关于细分和最不享有特权的访问.但 AI代理商需要创造性的自由才能有用".

AgentCore案例符合Zenity之前记录的模式.在AgentFlayer研究中,零点击攻击被推送 Salesforce Einstein Copilot Studio 和标记器以重定向客户数据或泄露凭据.使用AgentForger,一个改的ChatGPT链接在OpenAI中创建了一个自主代理 Workspace Agents 禁用了审批要求; OpenAI在四天内解决了这个问题 Google DeepMind 在其" AI Agent Traps "分类法中列出了长期存储操纵作为单独的攻击类别",混沌特工"红色团队研究记录了通过外部可编辑文档文件远程控制OpenClaw代理的研究人员.

根据Zenity的说法,AgentCore的默认角色打破了这一规则,OpenAI的四天修复和 AgentCore几个月的大规模缺陷之间的差距是企业在一个环境中混合公共和内部工作负载的代理机队时需要关注的数字.