一条提示词劫持AWS全部智能体

安全公司Zenity Labs披露名为“AgentCorruption”的漏洞链，显示只需向一个公开的Amazon Bedrock AgentCore智能体发送一条提示词，即可接管同一AWS账户和区域内的所有智能体。

攻击者利用智能体缺乏网络隔离的缺陷，诱导其访问内部元数据服务（IMDS），从而窃取临时AWS凭证。由于AgentCore默认权限配置过于宽松，这些凭证允许攻击者横向移动，读取其他智能体的源代码、私有对话及存储的密钥，甚至篡改长期记忆以植入后门指令。

Zenity于2025年12月向AWS报告该问题。AWS随后将IMDSv2设为新部署的默认选项，并在今年8月收紧了默认执行角色权限，禁止智能体相互调用或读取秘密管理器中的凭证。尽管平台已部分修复，研究人员仍建议企业手动创建最小权限自定义角色，因为云安全隔离与AI智能体所需的灵活性之间存在固有冲突。