Falha no AWS Bedrock AgentCore permitia sequestrar agentes

Segundo a empresa de segurança Zenity Labs, uma única mensagem de chat enviada a um assistente público na plataforma Bedrock AgentCore da Amazon era suficiente para comprometer uma conta e região inteiras na AWS. Os pesquisadores encontraram uma cadeia de falhas que burlou o isolamento de ambiente, permitindo extrair credenciais internas e controlar todos os demais agentes presentes no mesmo ecossistema.

Como um único prompt roubou credenciais de nuvem?

Os agentes executados na plataforma não tinham o isolamento adequado contra o serviço interno de metadados da AWS. Quando os pesquisadores pediram, em linguagem natural, para um agente de teste consultar o serviço de metadados no endereço IP interno e enviar os resultados para fora, o sistema cumpriu a ordem. O servidor retornou credenciais temporárias completas, incluindo chaves de acesso e tokens de sessão válidos fora da plataforma.

Por que todos os agentes da região ficaram expostos?

A invasão escalou porque as permissões padrão do AgentCore eram amplas e abrangiam todos os agentes da mesma região, em vez de isolar cada carga de trabalho. Com as credenciais roubadas, os pesquisadores puderam listar cada agente, baixar seus pacotes de código-fonte em segundos e invocá-los de forma remota. Isso expôs senhas armazenadas, conversas privadas de usuários e permitiu alterar a memória de longo prazo de outros robôs internos.

O que muda para quem desenvolve com agentes na nuvem?

Embora a AWS tenha atualizado as funções de execução padrão para impedir que agentes invoquem outros robôs ou leiam gerenciadores de segredos, especialistas reforçam que as configurações automáticas não bastam. Equipes de desenvolvimento devem configurar manualmente perfis personalizados com privilégios mínimos, garantindo que um assistente de atendimento público jamais alcance sistemas internos sensíveis.