一句提示取走 AWS 臨時憑證：
研究員示範接管同區 AI 代理

Zenity 研究員透過一個公開聊天代理，讀取 Amazon Bedrock AgentCore 的中繼資料服務。AWS 已改預設設定，Amazon 則稱研究把已記載的行為說成漏洞。

資安公司 Zenity Labs 研究員 Tamir Ishay Sharbat 及 Lana Salameh 公布，部署在 Amazon Bedrock AgentCore 上的 AI 代理，曾可被外人以一句提示取走臨時 AWS 存取憑證。

做法HOW

研究員要求一個公開的聊天代理讀取某網址並以原始 JSON 回覆。該網址是雲端執行個體的中繼資料服務（IMDS）憑證端點。當時 AgentCore 仍使用舊版 IMDSv1，代理照做，回傳了自身的臨時憑證。研究員指 AgentCore 所用的 Firecracker 微型虛擬機網絡隔離不足。

影響IMPACT

預設角色的權限涵蓋該區域所有 AgentCore 資源，而非單一代理。研究員稱，憑證可用來列出同區其他代理、下載其容器映像、讀取用戶對話，以及寫入代理記憶，從而改變代理日後的行為。Zenity 強調影響不會跨越帳戶界線。

時間線TIMELINE

Zenity 於 2025 年 12 月向 AWS 報告。AWS 表示 AgentCore 自 2026 年 2 月 14 日起只用 IMDSv2；權限過大問題至 6 月仍未處理，Zenity 於 9 月 29 日覆查時確認已修正。報道刊出後，Amazon 向 The Register 表示，研究把已記載的行為說成漏洞，攻擊須涉及開發者設定錯誤。

來源SOURCES

1. The Register（2026-10-09）