Одного промпта хватило, чтобы захватить всех AI-агентов в AWS-аккаунте

Исследователи Zenity Labs нашли критическую уязвимость в Amazon Bedrock AgentCore — сервисе для создания AI-агентов. Оказалось, что достаточно сделать одного агента публично доступным, чтобы с помощью специального промпта получить полный контроль над всеми агентами в том же AWS-аккаунте и регионе. Атака эксплуатировала внутренний интерфейс, через который агенты запрашивали временные облачные учётные данные — доступ к этому интерфейсу не был ограничен.

После отчёта Zenity AWS оперативно исправила проблему и существенно ужесточила стандартные разрешения агентов. Теперь по умолчанию агенты не могут обращаться к внутренним механизмам учётных записей без явного разрешения. Обновление уже развёрнуто для всех пользователей Bedrock.

Эта находка напоминает, что безопасность AI-агентов — не только про защиту от «инъекций» промптов, но и про изоляцию инфраструктурных компонентов. Даже один неверно настроенный агент может стать точкой входа для компрометации всего аккаунта.