Исследователи из Zenity Labs обнаружили уязвимость в платформе Amazon Bedrock AgentCore, позволявшую перехватывать управление ИИ-агентами. Злоумышленнику было достаточно отправить один запрос публично доступному агенту, чтобы получить контроль над всеми агентами в рамках одной учетной записи и региона AWS.
Проблема заключалась в отсутствии изоляции, что позволяло агентам обращаться к службе метаданных экземпляра по адресу 169.254.169.254. Это давало возможность извлекать временные учетные данные, красть исходный код, API-ключи и получать доступ к конфиденциальной информации, включая данные из внутренних хранилищ S3.
Zenity сообщила об уязвимости компании AWS 25 декабря 2025 года. После этого AWS сделала IMDSv2 стандартом для развертывания AgentCore. В августе компания также обновила настройки ролей по умолчанию, ограничив права агентов на вызов других агентов и доступ к менеджеру секретов, что ранее было доступно всем агентам в регионе.
По данным Zenity, избыточные права доступа позволяли злоумышленникам не только читать переписку пользователей, но и манипулировать долгосрочной памятью агентов. Это давало возможность внедрять инструкции для перенаправления будущих диалогов на внешние серверы, оставаясь незамеченными для пользователей.
Ранее Zenity находила схожие уязвимости в Salesforce Einstein, Copilot Studio и Cursor. Эксперты подчеркивают фундаментальный конфликт между необходимостью свободы действий для ИИ-агентов и требованиями безопасности, такими как сегментация и принцип минимальных привилегий.
