单条提示词即可劫持同一AWS账户下所有AI智能体

Zenity Labs研究人员在亚马逊Bedrock AgentCore平台上发现了一条完整的漏洞利用路径。AgentCore是AWS面向企业的AI智能体运行平台，支持工具调用、长期记忆与访问管理。研究人员将这组漏洞命名为「AgentCorruption」，并证明攻击者只需拥有与一个公开智能体对话的权限，便能触发整条攻击链，无需任何其他前置条件。

漏洞的核心在于AgentCore缺乏对AWS内部元数据服务（IMDS，地址为169.254.169.254）的有效隔离。该服务为云实例提供临时身份凭证，正常情况下智能体不应能访问它。研究人员使用AWS开源框架Strands构建了一个测试智能体，仅用自然语言指令便让其查询元数据服务并将结果发送至外部服务器。获取的临时凭证在研究人员自己的机器上同样有效，攻击从此刻起便不再依赖原始智能体。

默认权限配置的缺陷使攻击影响范围急剧扩大。AgentCore为智能体分配的默认执行角色权限并非仅限于单个智能体，而是覆盖同一账户和区域内的所有智能体，包含读取、写入和删除操作。研究人员借此在数秒内列出并下载了区域内所有智能体的代码包，这些包中往往混存着被遗忘的密码或API密钥，攻击者可借此从面向公众的客服智能体横向跳转至内部财务智能体。

对于启用了长期记忆功能的智能体，研究人员还实施了记忆投毒攻击。他们在智能体的记忆中植入隐藏指令，使其在后续对话中持续将内容转发至外部目的地。用户与智能体的交互表面上一切正常，实际上所有对话均已被悄然外泄。此外，研究人员还能读取平台上所有用户与智能体之间的历史私密对话记录。

Zenity于2025年12月25日向AWS报告了上述问题。AWS随后将更安全的IMDSv2版本设为AgentCore新部署的默认配置，并在2026年8月前后更新了默认执行角色，移除了智能体调用其他智能体、读取私密对话及从Secrets Manager提取凭证的权限。尽管如此，研究人员仍建议企业不要依赖平台默认配置，而应为每个智能体手动创建遵循最小权限原则的自定义角色。

Zenity首席技术官Michael Bargury指出，云安全强调分段隔离与最小权限，而AI智能体为了发挥效用又需要相对宽泛的操作自由，两者之间存在内在张力。当面向公众的智能体与内部智能体共享同一环境时，任何单点漏洞都可能击穿整个系统的安全边界。这一问题并非AgentCore独有——Zenity此前披露的AgentFlayer和AgentForger研究同样表明，Salesforce Einstein、Copilot Studio等主流平台均存在类似的提示词注入与凭证泄露风险。

要点

• AgentCore平台缺乏对AWS内部元数据服务的隔离，单条自然语言提示词即可诱使智能体泄露自身临时凭证，攻击者随后可在平台外独立使用这些凭证。
• 默认执行角色权限覆盖同一账户和区域内的全部智能体，导致攻击者能够下载源代码、读取私密对话、提取存储凭证并篡改智能体长期记忆。
• AWS已将IMDSv2设为新部署默认配置，并大幅收紧默认执行角色权限，但研究人员仍建议企业为AI智能体手动配置最小权限自定义角色。
• 面向公众的智能体与内部智能体共享运行环境时，单点漏洞可击穿整个系统的安全边界，企业应对不同信任级别的智能体实施严格的环境隔离。