Jediný prompt mohl podle Zenity kompromitovat agenty AWS AgentCore v celém účtu

Výzkumníci ze Zenity Labs popsali řetězec chyb v platformě Amazon Bedrock AgentCore, který měl útočníkovi umožnit převzít všechny agenty AgentCore v rámci stejného účtu AWS a regionu. Podle výzkumu stačil jediný prompt zaslaný veřejně dostupnému agentovi. Útočník se tak podle nich mohl dostat k privátním konverzacím, cloudovým přihlašovacím údajům a také dlouhodobě ovlivňovat chování agentů.

Zenity označuje zjištěnou techniku jako AgentCorruption. Pro firmy využívající AI agenty v AWS je podstatné hlavně to, že útok nezačínal průnikem do administrace cloudu ani zneužitím uživatelského účtu. Vstupním bodem mělo být běžné chatovací rozhraní agenta vystaveného směrem k internetu.

Přístup k metadatům instance přes chat

Podle technického popisu mohl agent nasazený přes AgentCore komunikovat se službou IMDS (Instance Metadata Service), tedy interním endpointem AWS pro metadata běžící instance. Tato služba může aplikaci poskytnout dočasné přihlašovací údaje role přiřazené danému výpočetnímu prostředí.

Výzkumníci uvádějí, že microVM, v níž agent běžel, neomezovala síťový přístup k metadatové službě. Agent pak na požadavek vložený do promptu přeposlal odpověď uživateli. Vedle údajů o cloudové identitě tak podle Zenity mohlo dojít i k odhalení kontejnerového obrazu agenta.

Samotný přístup k metadatům instance by ještě neurčoval rozsah dopadu. Klíčová byla oprávnění získaných přihlašovacích údajů. Zenity tvrdí, že je výzkumníci mohli použít k převzetí všech agentů AgentCore ve stejném AWS účtu a regionu. To znamená, že kompromitace jediného veřejného agenta nemusela zůstat izolovaná u jeho vlastní konverzace nebo konkrétní aplikace.

Riziko představuje sdílená cloudová identita

Popisovaný scénář ukazuje problém, který se u AI agentů liší od obvyklé prompt injection. Útočník zde nemá agenta jen přimět k nevhodné odpovědi, vyzrazení dat z kontextu nebo provedení nechtěného úkolu. Pokud agent dokáže na základě instrukce zpracovat požadavek na interní síťové služby, může se konverzace stát cestou k infrastrukturním oprávněním.

V prostředí cloudu jsou dočasné přístupové údaje běžným mechanismem, jak aplikacím předat oprávnění bez ukládání dlouhodobých hesel do konfigurace. Bezpečnost tohoto modelu ale závisí na tom, že údaje neopustí prostředí, pro které byly vydány, a že jejich oprávnění odpovídají principu nejmenších nutných práv.

Zenity ve svém výzkumu uvádí také možnost trvale manipulovat chování agentů. Útočník, který získá oprávnění ke správě dalších agentů, by tak nemusel zůstat odkázán na jednorázový prompt. Mohl by zasáhnout do konfigurace nebo instrukcí agentů a vytvořit si přístup, který přetrvá i po ukončení původní konverzace.

Firmy provozující veřejně dostupné agenty by proto měly ověřit, jaké síťové cíle mohou agenti oslovovat, zda mají přístup k instančním metadatům a jaká oprávnění získávají jejich runtime identity. Důležité je také oddělit agenty, jejich data a role mezi účty či regiony tam, kde to architektura dovoluje.