セキュリティ企業Zenity Labsは10月8日、カナダ・トロントで開催されたセキュリティカンファレンス「SecTor 2026」で、Amazon Bedrock AgentCoreに存在する複数の脆弱性を連鎖させた攻撃手法「AgentCorruption」を公開した。外部リクエストを送れるツールを持つ公開済みのAgentCoreエージェントに1つのプロンプトを送るだけで、同じAWSアカウント・リージョン内にある他の全エージェントを乗っ取れるという内容だ。
攻撃の起点は、エージェントにAWSのインスタンスメタデータサービス(IMDS)へアクセスさせ、一時的な認証情報を取得させる手口だ。本来は個々のエージェントに閉じているはずのこの認証情報が、デフォルトのIAMロールの権限によって同一アカウント・リージョン内の全AgentCoreエージェントに及んでいたため、研究者は他のエージェントの内部会話やソースコード、AWS Secrets Managerに保存されたAPIキー・OAuthトークンなどの認証情報に不正アクセスできたとしている。さらに、エージェントに悪意のある「記憶」を植え付け、将来の会話を攻撃者の管理するサーバーへ送信させることにも成功したという。
Zenity Labsは問題を既に修正済みで、AWSアカウントの境界を越える被害は確認されていないとしている。一方のAWSは、エージェントが他アカウントのリソースにアクセスできるのは開発者が明示的に権限を許可した場合に限られるとし、今回の研究は想定済みかつドキュメント化された挙動を脆弱性として誤って描いていると反論している。報道によれば、AWSは今年2月以降、新規エージェントへのIMDSv2の既定適用や、9月のデフォルト実行ロールの権限縮小といった対策を既に進めていたとされる。
出典: DarkReading
