Один промпт позволил захватить всех ИИ-агентов AWS AgentCore в регионе

Zenity Labs использовала один промпт к публичному ИИ-агенту Amazon Bedrock AgentCore, чтобы захватить всех агентов в том же аккаунте и регионе AWS. Цепочка уязвимостей AgentCorruption дала доступ к приватным диалогам, исходному коду агентов, ключам Secrets Manager и позволила внедрять постоянные инструкции в память агентов.

• Атака началась с запроса к instance metadata service и получения временных учётных данных
• Роль по умолчанию AgentCore покрывала ресурсы всего аккаунта и региона
• Исследователи читали приватные диалоги и копировали исходный код агентов
• AWS закрыла часть дыр только к 29 сентября, CVE не присвоен