Forscher von Zenity Labs haben eine kritische Schwachstelle in Amazon Bedrock AgentCore aufgedeckt, die es ermöglichte, über einen einzigen öffentlich zugänglichen KI-Agenten die Kontrolle über alle anderen AgentCore-Agenten im selben AWS-Konto und in derselben Region zu übernehmen. Die Sicherheitsfirma bezeichnete die Kette von Schwachstellen als „AgentCorruption“.
Amazon Bedrock AgentCore ist eine AWS-Plattform, die für den Betrieb von KI-Agenten in Unternehmen konzipiert ist und Werkzeuge, Speicher und Zugriffsverwaltung bietet. Zenity Labs fand heraus, dass ein Angreifer lediglich Chat-Zugriff auf einen öffentlichen Agenten benötigte, um die Schwachstellen auszunutzen. Ein einziger Befehl (Prompt) reichte aus, um private Konversationen, Quellcode und gespeicherte Zugangsdaten aller Agenten im betroffenen Konto offenzulegen.
Details der Schwachstelle und Auswirkungen
Die Angriffe nutzten eine interne AWS-Schnittstelle, den Instance Metadata Service (IMDS) unter der Adresse 169.254.169.254, der temporäre Anmeldeinformationen für Instanzen und Workloads zur Authentifizierung bei AWS bereitstellt. Normalerweise sollten KI-Agenten diesen Dienst nicht erreichen können. Zenity Labs stellte jedoch fest, dass AgentCore keine angemessene Isolation besaß. Die Forscher konnten einen Test-Agenten mithilfe des Open-Source-Frameworks Strands von AWS so instruieren, dass er den Metadatendienst abfragte und die Ergebnisse an einen externen Server sendete. Die gestohlenen Anmeldeinformationen funktionierten auch außerhalb der Plattform.
Die Übernahme war möglich, weil die Standardberechtigungen von AgentCore nicht auf den empfangenden Agenten beschränkt waren, sondern für jeden Agenten im selben Konto und in derselben Region galten. Dies gewährte Lese-, Schreib- und Löschzugriff, der destruktive Operationen ermöglichte. Angreifer konnten alle Agenten auflisten, deren Code-Pakete herunterladen – die oft vergessene Passwörter oder API-Schlüssel enthalten – und jeden Agenten aufrufen. Dies hätte es ermöglicht, von einem kundenorientierten Service-Agenten zu einem internen Finanz-Agenten zu wechseln und dessen Daten abzugreifen.
Für Agenten mit Langzeitspeicher war es zudem möglich, diesen Speicher zu manipulieren, um zukünftiges Verhalten zu beeinflussen. Die Forscher konnten Anweisungen einpflanzen, die Agenten dazu veranlassten, zukünftige Konversationen an externe Ziele weiterzuleiten, ohne dass Nutzer dies bemerkten.
Reaktion von AWS und allgemeine Empfehlungen
Zenity berichtete AWS die Ergebnisse zu AgentCore am 25. Dezember 2025. Daraufhin machte AWS IMDSv2, eine sicherere Version des Metadatendienstes, zum Standard für neue AgentCore-Bereitstellungen. Laut einem aktualisierten Bericht von Zenity hat AWS um August herum auch die Standard-Ausführungsrolle von AgentCore geändert. Die aktualisierte Rolle erlaubt Agenten nun nicht mehr, andere Agenten aufzurufen, private Konversationen zu lesen oder Zugangsdaten vom AWS Secrets Manager abzurufen. AWS hat auch andere Berechtigungen erheblich eingeschränkt, obwohl Zenity weiterhin empfiehlt, benutzerdefinierte Rollen mit engeren Zugriffsberechtigungen zu erstellen.
Michael Bargury, CTO von Zenity, weist auf den Konflikt zwischen Cloud-Sicherheit und der erforderlichen Flexibilität von Agenten hin. Er betont, dass Cloud-Sicherheit auf Segmentierung und dem Prinzip der geringsten Rechte basiert, während KI-Agenten kreative Freiheit benötigen, um nützlich zu sein. Dieser Kompromiss betrifft jedes Unternehmen, das Agenten in der Cloud betreibt, insbesondere wenn öffentliche und interne Agenten eine gemeinsame Umgebung nutzen. Frühere Forschungen von Zenity, wie „AgentFlayer“ und „AgentForger“, dokumentierten ähnliche Schwachstellen, die zeigten, wie scheinbar harmlose Eingaben Agenten gegen ihre eigene Organisation wenden können.
Thema: Amazon. Quelle/Inspiration: The Decoder.