单个提示词即可劫持 AWS 账户内全部 AI agent

Zenity Labs 研究人员称，在 Amazon Bedrock AgentCore 中，一个可被公开访问的 AI agent 足以接管同一 AWS 账户与同一区域内的所有 AgentCore agent。攻击利用了 agent 可不受限制访问的 AWS 内部接口，用于获取临时云凭证。AWS 已修补该问题，并大幅收紧 agent 的默认权限。

此前业内对 agent 的安全关注多集中在提示词注入与外部工具调用，此次问题出在 AWS 内部凭证接口的权限默认值上，说明多 agent 部署中存在横向扩散风险：单一暴露面即可波及同账户全部 agent。默认权限收紧意味着相关部署的既有权限配置可能需要重新评估。

机制在于 agent 运行时具备获取临时云凭证的能力，而该内部接口未做细粒度隔离，使得被劫持的 agent 可以将权限扩散至同账户同区域的其他 agent。攻击入口是单个公开可访问的 agent，扩散路径依赖共享的账户与区域边界以及默认权限范围。

对在 AWS Bedrock AgentCore 上构建产品的团队，需重新审查 agent 的默认权限、网络暴露面和账户隔离策略，可能引入按 agent 划分权限、限制公网入口和拆分账户区域的改造成本；对终端用户，多 agent 功能的信任前提从模型能力转向云侧权限治理。

• 为多 agent 部署提供权限最小化与隔离配置的检查清单或自动化扫描工具。
• 在 agent 上线流程中加入公网暴露面审计，检测可被公开访问的 agent 实例。
• 面向企业客户提供按账户或区域拆分 agent 权限的模板化部署方案。

• 被劫持的 agent 能达到哪些具体操作范围，是否涉及数据外泄，证据未说明。
• AWS 收紧后的默认权限具体包含哪些变更，是否会影响现有 agent 的正常功能。
• 除 Bedrock AgentCore 外，其他云平台的多 agent 权限模型是否面临同类风险。
• 该漏洞在实际环境中是否已被利用，还是仅限研究演示。