亚马逊AI智能体服务曝漏洞，一条提示词可偷走云凭证接管系统

安全机构泽尼蒂实验室（Zenity Labs）披露了亚马逊云服务（AWS）旗下 Bedrock AgentCore 的安全缺陷。外部人员只需在对话中向部署好的 AI 智能体发送特定指令，诱导其抓取实例元数据服务（IMDSv1）接口，就能直接获取该智能体的临时云凭证。由于系统底层微虚拟机网络隔离不足，加上默认 IAM 角色权限过大，攻击者拿到凭证后不仅能在该区域列出并接管其他智能体，还能拉取容器镜像审查代码、翻阅其他用户的会话记录，甚至写入新记忆来篡改智能体后续的运行目标。

根据研究人员公开的时间线，该问题于2025年12月和2026年1月分批向亚马逊报告。亚马逊在2026年2月中旬全面改用更安全的 IMDSv2 机制并随后关闭了报告，而权限过大的问题直到2026年9月底才彻底完成修复。面对披露，亚马逊方面回应称该研究将官方文档记录的正常机制误读为了漏洞，认为必须存在开发者配置失误才会引发攻击。

现在大家都在给大模型接入业务做 Agent，但底层安全和权限要是没卡死，真的就是前门防死、后门大开。平时云服务配置都知道要严防元数据外泄，结果 AI 智能体仗着能联网和高权限，被用户一句套话就把最底层的凭证全端了出来，甚至还能顺藤摸瓜连坐同一区域的其他服务。官方虽然嘴硬说是开发者配置问题，但默认给的权限这么宽、隔离机制不够严密，普通团队部署时稍不留神就得踩雷。