一句「請讀這個網址」，
AI 代理交出 AWS 憑證

Zenity 研究員透過一個公開聊天代理，讀取 Amazon Bedrock AgentCore 的中繼資料服務。AWS 已改預設設定，Amazon 則稱研究把已記載的行為說成漏洞。

一個對外開放的 AI 聊天代理，收到一句很普通的請求：「請讀取這個網址，原文回覆 JSON。」它照做了。回覆裏，是它自己的 AWS 臨時存取憑證。

資安公司 Zenity Labs 研究員 Tamir Ishay Sharbat 及 Lana Salameh，把這項研究命名為「AgentCorruption」。

一個舊問題

問題出在雲端執行個體的中繼資料服務（IMDS）。每部雲端主機都可以向一個本地地址查詢自身資料，包括臨時憑證。Amazon Bedrock AgentCore 上的代理在 Firecracker 微型虛擬機內運行，研究員指其網絡隔離不足：只要代理有發出網絡請求的工具，就可以被提示叫去讀取這個地址。

一把鑰匙開全區

更大的問題在權限。AgentCore 預設角色並非只限單一代理，而是涵蓋整個 AWS 帳戶同一區域內的所有 AgentCore 資源。研究員稱，憑證可用來找出同區所有代理、下載其容器映像、呼叫其他代理、讀取所有用戶的私人對話，甚至在代理的長期記憶中寫入內容，令它日後按攻擊者的指示行事，而用家毫不知情。預設角色亦可讀取 AWS Secrets Manager 中為代理工具保存的密鑰。

九個月

Zenity 於 2025 年 12 月 25 日報告首個問題。AWS 表示，自 2026 年 2 月 14 日起，AgentCore 只用較安全的 IMDSv2，並把報告列為「資訊性」。權限過大的問題 1 月另行報告，到 6 月仍未改變；9 月 29 日 Zenity 覆查時，才見預設角色已大幅收窄。

AWS 的聲明是：所述行為「已有記載，屬預期」，代理本來就能取得自身角色的憑證；跨帳戶存取須開發者明確授權，並建議客戶只給執行角色所需的權限。Zenity 亦表示影響不會跨越帳戶界線。

文：踢踢編