Zenity Labs zeigt: Ein Chatprompt ließ einen Bedrock‑Agenten temporäre AWS‑Zugangsdaten auslesen und kontoweit Agenten übernehmen.
In Kürze
- Fehlende Abschottung erlaubte Zugriff auf den Instance Metadata Service (IMDS).
- Gestohlene temporäre Credentials ermöglichten Zugriff auf S3, private Chats und Quellcode.
- AWS setzte IMDSv2 und reduzierte Standardrechte, doch Restrisiken bleiben.
Ein einfacher Chatbefehl reichte — und alle Agenten waren übernommen. Forscher von Zenity Labs haben eine Kette von Schwachstellen in Amazons Agent-Plattform Bedrock AgentCore gefunden, mit der sich ein öffentlich erreichbarer Agent dazu bringen ließ, die Kontrolle über alle Agenten im selben AWS‑Konto und in derselben Region zu erlangen. Zenity nennt die Lücke „AgentCorruption“.
Wie der Angriff funktionierte
Der Kern des Problems war fehlende Abschottung: AgentCore‑Agenten konnten den Instance Metadata Service (IMDS) abfragen. Dieser Dienst liefert temporäre Zugangsdaten, die AWS‑Dienste nutzen, um ihre Identität gegenüber anderen Diensten nachzuweisen. Die Forscher gaben einem Testagenten per normalem Chatprompt die Anweisung, diese Metadaten auszulesen und an einen externen Server zu schicken — der Agent folgte. Die so erbeuteten Zugangsdaten funktionierten außerhalb der Plattform, sodass die Untersucher anschließend ohne weiteren Agenten Zugriff behielten.
Dieselbe Methode ließ sich laut Zenity auch über die Kommandozeile anstoßen, was zeigt, dass das Problem in der Plattform selbst lag und nicht nur im genutzten Web‑Interface.
Welche Folgen das haben kann
Mit den abgegriffenen Zugangsdaten konnten Angreifer unter anderem:
- Quellcode‑Pakete herunterladen, in denen oft vergessene Passwörter oder API‑Schlüssel liegen.
- Private Chats mitlesen und gespeicherte Zugangsdaten abgreifen.
- Auf interne S3‑Ressourcen zugreifen, etwa über vorsignierte URLs.
- Weitere Agenten auflisten, aufrufen, lesen, schreiben und löschen — denn die Standard‑Ausführungsrolle, die AgentCore automatisch vergibt, hatte laut Zenity sehr weitreichende, regionsweite Rechte.
Zenity zeigte außerdem, dass sich bei Agenten mit Langzeitgedächtnis gespeicherte Informationen manipulieren ließen (Memory Poisoning). So konnten Forscher Anweisungen einpflanzen, die einen Agenten veranlassen, künftige Gespräche unbemerkt an einen fremden Ort weiterzuleiten. Selbst Empfehlungen wie das getrennte Speichern von Geheimnissen halfen nicht immer, weil die Standardrechte diesen Zugriff erlaubten — betroffen waren dem Bericht zufolge auch Schlüssel zu Diensten außerhalb von AWS.
AWS‑Reaktion und verbleibendes Risiko
Zenity meldete die Lücke am 25. Dezember 2025. Als Reaktion stellte AWS für neue AgentCore‑Deployments IMDSv2 als Standard ein — eine sicherere Variante des Metadaten‑Dienstes. Zudem nahm AWS nach Angaben von Zenity (etwa im August) Änderungen an der Standard‑Rolle vor und reduzierte einige Berechtigungen, etwa das Lesen privater Gespräche oder den Zugriff auf Secrets.
Zenity warnt jedoch, dass weiterhin Risiken bestehen und empfiehlt Unternehmen, eigene, eng gefasste Rollen mit minimalen Rechten zu definieren.
Einordnung und Hintergründe
Zenity stieß bereits zuvor auf vergleichbare Schwachstellen in anderen Agentenplattformen (etwa AgentFlayer, AgentForger): Das Muster war häufig das gleiche — eine vermeintlich harmlose Eingabe genügt, um einen Agenten gegen die eigene Umgebung zu richten. OpenAI schloss eine ähnliche Lücke sehr schnell; bei AgentCore blieben überzogene Standardrechte länger bestehen. Zenity‑CTO Michael Bargury bringt das Dilemma auf den Punkt: Cloud‑Sicherheit verlangt Segmentierung und minimale Zugriffsrechte, während KI‑Agenten oft Freiheiten brauchen, um nützlich zu sein — ein Spannungsfeld, das Absicherung komplizierter macht, vor allem wenn öffentliche und interne Agenten in derselben Umgebung laufen.
Was du jetzt beachten solltest
Zenity empfiehlt und Sicherheitsteams sollten prüfen:
- Statt der weitreichenden Standardrolle eigene, strikt minimale Rollen zu vergeben.
- Öffentliche von internen Agenten zu trennen und Geheimnisse in separaten, sicheren Systemen zu speichern.
- Zugriffsrechte und Aktivitäten von Agenten besonders genau zu überwachen.
Diese Maßnahmen zielen darauf ab, potenziellen Missbrauch einzuschränken, falls ein einzelner Agent kompromittiert wird.
Quellen
- Berichte von Zenity Labs zu AgentCorruption
- Berichte von Zenity Labs zu Memory Poisoning
- Berichte von Zenity Labs zu Datendiebstahl
Quellen
- Quelle: Amazon Web Services (AWS)
- Der ursprüngliche Artikel wurde hier veröffentlicht
- Dieser Artikel wurde im Podcast KI-Briefing-Daily behandelt. Die Folge kannst du hier anhören.
