安全公司 Zenity Labs 披露了针对 Amazon Bedrock AgentCore 的漏洞利用链,命名 AgentCorruption。攻击前提低得吓人:只要对某个公开可访问的智能体有聊天权限,一条提示词就能接管同一 AWS 账户和区域内的所有 AgentCore 智能体。
三步攻击链
第一步,经 IMDS 窃凭证。 AWS 实例在内部地址 169.254.169.254 跑实例元数据服务,提供临时凭证,拿到即可冒充该实例。AgentCore 缺少应有的隔离——研究员用 AWS 开源框架 Strands 建了个测试智能体,用平实语言让它「查询元数据服务、把结果发到外部服务器」,它照做。原文最狠的一句:「我们本应对抗的沙箱边界根本不存在。」移除网络工具防不住,缺陷在平台本身。元数据服务还暴露了内部服务密钥和一个不属于该账户的内部 S3 预签名 URL。
第二步,横向接管。 根因是 AgentCore 默认执行角色的权限不限定在单个智能体,而是覆盖同账户同区域的所有智能体(读、写、删)。攻击者可以列出每个智能体、数秒内下载其代码包(常含被遗忘的密码、API 密钥)、调用任意智能体、读取全部用户与智能体的私密对话——从公开客服智能体一路跳到内部财务智能体。
第三步,记忆投毒。 对开了长期记忆的智能体,篡改记忆植入指令,让它把未来对话转发到外部目的地,用户毫无察觉。更糟的是,默认角色允许智能体访问 Secrets Manager 里的凭证(包括非 AWS 服务的密钥),AWS「密钥与智能体分开存放」的建议被自己削弱了。
时间线与响应
- 2025 年 12 月 25 日:Zenity 向 AWS 报告
- 之后:AWS 把 IMDSv2 设为新部署的默认(堵住第一步入口)
- 约 2026 年 8 月:默认角色收窄——不再允许跨智能体调用、读私密对话、取 Secrets Manager 凭证
对比是刺眼的:类似问题 OpenAI 四天修复,而 AgentCore 的过宽默认权限在报告后持续了数月。研究员仍建议企业自建权限更窄的自定义角色。
怎么读
Zenity CTO Michael Bargury 点出的是结构矛盾:「云安全关乎分段和最小权限,但 AI 智能体需要创作自由才能发挥作用。」公开智能体和内部智能体共享环境时,单点漏洞就是整个安全边界。同模式研究正在扎堆出现:AgentFlayer、AgentForger、DeepMind 把「长期记忆操纵」列为独立攻击类别。当然,Zenity 自己卖智能体安全平台,报告此类漏洞有商业动机,读时留一分清醒。
来源:AIHOT 转载,The Decoder 原文