Zenity研究人员发现：单个提示即可劫持AWS账户中所有AI代理

Zenity Labs 称，只需向一个公开可访问的 AI 代理发送一条提示，就能接管同一 AWS 账户和区域内所有 AgentCore 代理。该机构将这一系列漏洞命名为“AgentCorruption”，并称其属于系统性问题，影响多个 AWS 账户中带内置工具的代理。

攻击入口指向 AWS 在内部地址 169.254.169.254 运行的实例元数据服务，该服务用于发放临时凭证。Zenity 称 AgentCore 缺乏适当隔离，代理在被要求查询该服务并把结果发往外部服务器时照做了。研究者据此表示，“我们本应对抗的沙箱边界根本不存在”。

Zenity 称窃取的凭证可在平台外的研究者自有机器上使用，元数据服务还泄露了内部 AWS 服务的证书与密钥材料，以及不属于研究者账户的内部 S3 预签名 URL。研究者还称，移除 Web 工具也无济于事，因为缺陷在平台本身，他们通过命令行工具实施了同一攻击。

Zenity 称接管之所以可行，是因为 AgentCore 的默认权限不限于接收权限的单个代理，而是适用于同一账户和区域内的每个代理，并授予可执行破坏性操作的读、写、删除权限。

借助这些权限，Zenity 称可列出所有代理、在数秒内下载其代码包并逐个调用，而这些代码包常包含被遗忘的密码或 API 密钥。研究者还称，窃取的凭证使其能读取该区域内其他用户与任意 AgentCore 代理之间的私密对话。

对启用长期记忆的代理，Zenity 称其可篡改记忆以影响未来行为，并植入指令让代理把后续对话转发到外部目的地。用户会继续与一个看似可信的代理对话而毫无察觉。

Zenity 还称，AgentCore 的默认权限允许代理访问存储的凭证，包括 AWS 之外服务的密钥，从而削弱了 AWS 建议的将密码与 API 密钥分离存放的保护。

Zenity 称其于 2025 年 12 月 25 日向 AWS 报告了 AgentCore 的发现，此后 AWS 将 IMDSv2 设为新 AgentCore 部署的默认配置。IMDSv2 是元数据服务的更安全版本，而该服务正是 Zenity 攻击的入口。

据 Zenity 更新后的说法，AWS 还在约 8 月更改了 AgentCore 的默认执行角色，不再允许代理调用其他代理、读取私密对话或从 AWS Secrets Manager 获取凭证，并大幅限制了其他权限。

但研究者仍建议企业创建访问权限更窄的自定义角色。来源未给出 AWS 是否已完全修复该漏洞链的完整确认，AWS 官方对漏洞范围、修复内容与时间线的说法也未在来源中呈现。

Zenity 首席技术官 Michael Bargury 表示，云安全关乎隔离与最小权限，但 AI 代理需要创造自由才能发挥作用，二者存在冲突。

这一冲突在公开面向的代理与内部代理共享环境时尤为突出：在这种设置下，单一漏洞即可破坏整个系统的安全边界。Zenity 描述的从公开客服代理转向内部财务代理并访问其数据的路径，正是这一风险的具象化。

需要指出的是，上述技术细节均来自 Zenity 自身博客，缺乏独立第三方验证；受影响企业客户的实际数量与是否发生真实攻击尚不清楚。

Zenity 销售面向 AI 代理的安全平台，因此在报告该领域漏洞上存在商业利益。这一身份不否定其发现，但意味着相关结论至多应被视为来源方主张。

该发现延续了 Zenity 此前记录的模式：AgentFlayer 研究中的零点击攻击使 Salesforce Einstein、Copilot Studio 和 Cursor 重定向客户数据或泄露凭证；AgentForger 中一个被篡改的 ChatGPT 链接即可在 OpenAI Workspace Agents 中创建禁用审批要求的自主代理。

报道称 OpenAI 在四天内修复了其漏洞，而 AgentCore 过宽的默认权限在 Zenity 报告后仍持续数月。AWS 已向所有企业开放 AgentCore，亚马逊称其用户包括索尼和爱立信。