Zenity 发现 AWS Bedrock AgentCore 漏洞：单个公开 AI Agent 可劫持同账号同区域全部 Agent
来源The Decoder查看原文
速览
- 一个公开暴露的 Agent 可成为整个 AWS 账号内 Agent 的入口。
- 漏洞根源是 Agent 可无限制访问发放临时云凭证的内部接口。
- 影响范围限于同一 AWS 账号、同一区域内的 AgentCore Agent。
- AWS 已修复漏洞并收紧 Agent 默认权限。
- 该事件指向 AI Agent 权限隔离与凭证管理的系统性风险。
Zenity Labs 研究人员披露，AWS Bedrock AgentCore 上只要有一个可公开访问的 AI Agent，攻击者就能借此接管同一 AWS 账号、同一区域内的所有 AgentCore Agent。攻击利用的是 AWS 一个用于发放临时云凭证的内部接口，Agent 可以不受限制地访问该接口。AWS 已修复该问题，并大幅收紧了 Agent 的默认权限。
关键事实
- Zenity Labs 研究人员发现，单个可公开访问的 Bedrock AgentCore Agent 足以接管同一 AWS 账号和同一区域内的所有 AgentCore Agent。
- 攻击路径是 AWS 一个用于发放临时云凭证的内部接口，Agent 原本可以不受限制地访问它。
- AWS 已修补该漏洞，并显著收紧了 Agent 的默认权限。
本站视角
这件事直接指向在 AWS 上跑 Agent 的团队，尤其是把 Agent 做成对外服务、或让 Agent 自动调用云资源的开发者。它暴露的不是某个模型的问题，而是 Agent 与云凭证体系结合后的权限放大效应：一个入口被打开，整个账号同区域的 Agent 都可能被接管。我们认为，这类漏洞会随着 Agent 大规模接入云服务而变得更常见，因为 Agent 天然需要凭证、又常被赋予较宽权限。需要观察的是，AWS 收紧默认权限后，现有部署是否会因权限不足而出现功能回退，以及各云厂商是否会跟进推出更细粒度的 Agent 凭证隔离方案。原文信息较简短，未披露漏洞编号、影响版本或利用细节，结论主要来自 Zenity Labs 单方披露，读者应留意后续 AWS 或第三方的独立验证。
背景与影响
Bedrock AgentCore 是 AWS 用于构建和运行 AI Agent 的服务，Agent 通常需要调用云资源，因此会涉及临时凭证的获取。Zenity Labs 的发现说明，当这类 Agent 被公开暴露、且其可访问的凭证接口缺乏限制时，攻击面会从单个 Agent 扩散到整个账号与区域。AWS 在收到问题后完成修补并收紧默认权限，意味着此前按默认配置部署的 Agent 可能存在权限过宽的情况。对于在 AWS 上部署 Agent 的团队，这意味着需要重新审视 Agent 的网络暴露面、凭证获取路径以及最小权限配置，而不能仅依赖云厂商的默认设置。
本文由 AI 辅助整理自公开信源，事实部分以原文为准；「本站视角」一节为编辑部判断，欢迎指正。版权归原作者所有，如有异议请联系我们。
