一次提示注入，为什么能越过Agent的云端权限边界

Agent安全 / 云基础设施 · 9.5/10 · 建议深挖

Zenity Labs在10月8日公开AgentCorruption研究。他们在测试环境中向一个开放的AWS Bedrock AgentCore智能体发出提示，使其通过具备网络请求能力的工具访问实例元数据服务，从而取得该智能体运行身份的临时凭据。关键并不只是模型听了不该听的话：当时AgentCore默认执行角色的权限范围较大，凭据随后能用于发现、调用同一AWS账户、同一区域的其他Agent，读取会话，甚至向长期记忆写入内容。分步技术报告展示了跨Agent访问的过程。

这是一条由两个环节接起来的攻击链：自然语言输入诱导Agent调用工具，云端身份与权限配置再放大后果。把提示注入只当成“聊天机器人说错话”，会漏掉真正昂贵的部分——被它调用的工具拥有什么网络出口和IAM权限。研究者还展示了记忆投毒：攻击者一旦能写入持久记忆，后续正常用户的会话也可能被旧指令影响。这里讨论的是研究者复现的路径，不能据此说现实中所有AgentCore客户都遭过攻击。

时间线尤其重要。Zenity称2025年12月和2026年1月已向AWS报告；2026年9月29日复查时，原来允许访问其他Agent、会话和Secrets Manager的关键默认权限已被收紧。AWS回应媒体，认为报道把预期且有文档说明的行为错称为漏洞，并强调跨账户访问需要开发者明确授权。双方对定性有分歧，研究者展示的是特定旧配置下、同账户同区域的权限链，不能写成“现在所有AWS账户都能被一句话接管”。实际启示很具体：上线Agent时要同时查网络出口、元数据访问和执行角色的最小权限，不能只调模型提示词。