Zenity Labs araştırmacıları, Amazon Bedrock AgentCore platformunda tek bir komutla bir AWS hesabı ve bölgesindeki tüm AI ajanlarının ele geçirilmesine olanak tanıyan bir güvenlik açığı zinciri keşfetti. Bu kusur, araştırmacıların iç AWS kimlik bilgilerine, kaynak koduna, özel konuşmalara ve ajan hafızasına halka açık bir ajan aracılığıyla erişmesini sağladı. Amazon Bedrock AgentCore, kurumsal AI ajanlarını çalıştırmak için tasarlanmış olsa da, platform uygun izolasyondan yoksundu ve geçici kimlik bilgilerini dahili meta veri hizmeti üzerinden ortaya çıkardı.
Güvenlik araştırmacıları, açık kaynaklı AWS Strands çerçevesini kullanarak bir test ajanı oluşturdu ve onu meta veri hizmetini sorgulamaya ve kimlik bilgilerini dışa aktarmaya yönlendirmeyi başarıyla gerçekleştirdi. AgentCore, bireysel ajanları izole etmek yerine tüm bölgeye geniş varsayılan izinler verdiği için çalınan kimlik bilgileri, araştırmacıların aynı hesap ve bölgedeki tüm ajanları listelemesine, incelemesine ve manipüle etmesine olanak tanıdı. Bu sistemik açığa, API anahtarları ve şifreler içeren hassas veri paketlerine erişim sağlayan saldırganlar, halka açık müşteri hizmetleri ajanlarından iç finans araçlarına yatay hareket edebildi.
AWS, varsayılan yürütme rollerini daha sıkı hale getirerek ve yeni ajanların iç meta veriyi almasını zorlaştırarak sorunu kısmen düzeltti. Ancak Zenity araştırmacıları, şirketlere AI ajanları için yetkisiz erişimi önlemek amacıyla daha katı ve en az ayrıcalıklı rollerin manuel olarak yapılandırılmasını hâlâ tavsiye ediyor. Bu keşif, kurumsal çok‑ajan platformlarında ayrıcalık yönetimi ve izolasyonla ilgili kritik güvenlik sorunlarını gözler önüne seriyor.