Lỗ hổng AWS AgentCore có thể lộ thông tin xác thực qua prompt
"Zenity Labs reported that AWS AgentCore instances could be prompted into exposing Instance Metadata Service (IMDS) credentials, enabling an attacker with chat access to a single exposed agent to retrieve temporary IAM credentials. The issue was compounded by weak Firecracker MicroVM network isolation and overbroad default permissions, allowing takeover of other agents, access to sessions and memories, and retrieval of secrets; AWS later moved AgentCore to IMDSv2 and addressed the remaining permission issues."
Rủi ro lộ credentials tạm thời, chiếm quyền agent khác và truy cập bí mật trong cùng tài khoản/vùng AWS.
Có thể ảnh hưởng đến tính toàn vẹn của agent, rò rỉ dữ liệu hội thoại và tăng chi phí xử lý sự cố, điều tra.
Zenity Labs cho biết các phiên bản AWS AgentCore có thể bị khai thác bằng một prompt để truy cập Instance Metadata Service (IMDS) và lấy temporary IAM credentials. Với quyền truy cập chat vào một agent bị lộ, kẻ tấn công có thể gửi yêu cầu khiến agent tự truy xuất metadata, từ đó thu được thông tin xác thực tạm thời của workload.
Theo báo cáo, vấn đề bị làm trầm trọng bởi Firecracker MicroVM chưa cung cấp đủ network isolation và cấu hình mặc định có phạm vi quyền quá rộng. Khi có được credentials, kẻ tấn công có thể liệt kê các agent khác trong cùng AWS account và AWS region, truy cập Amazon ECR để tải image, đọc sessions và memories, cũng như lấy bí mật từ AWS Secrets Manager.
Zenity cho biết đã báo cáo cho AWS từ tháng 12/2025. AWS sau đó chuyển AgentCore sang IMDSv2 vào 14/02/2026 và đến 29/09/2026 các vấn đề còn lại đã được khắc phục. Khuyến nghị cho đội vận hành là rà soát IAM permissions, giới hạn quyền theo từng agent, xác minh IMDSv2 đang được áp dụng, và kiểm tra khả năng truy cập vào sessions, memories và secrets trong môi trường AI agent.