8 октября компания Zenity опубликовала результаты исследования AgentCorruption — серьёзной проблемы безопасности в платформе Amazon Bedrock AgentCore.
Что произошло
Исследователи продемонстрировали атаку, начинавшуюся с обычного текстового запроса к общедоступному ИИ-агенту.
Агент имел инструмент для обращения к веб-ресурсам. Через него исследователи получили временные облачные учётные данные. Их полномочия оказались значительно шире, чем требовалось одному агенту.
В результате удалось:
Получить доступ к другим ИИ-агентам в той же учётной записи AWS и регионе. Читать закрытые переписки пользователей с агентами. Извлекать исходный код и сохранённые учётные данные. Подменять долговременную память агентов, заставляя их выполнять чужие инструкции в последующих разговорах.
Особенно неприятен последний пункт: пользователь мог продолжать общаться со своим привычным помощником, не подозревая, что его поведение уже изменено.
Насколько всё серьёзно?
Атака подтверждена экспериментом, но реальный взлом клиентов не установлен.
Исследователи сообщили о проблемах ещё в декабре 2025-го и январе 2026 года.
К 29 сентября AWS существенно ограничила права агентов. Zenity заявляет, что описанные проблемы устранены.
При этом AWS оспаривает квалификацию произошедшего как уязвимости: компания считает описанное поведение документированным и подчёркивает необходимость правильно настраивать разрешения.
Почему это важно: здесь проблема не в том, что ИИ вдруг захотел захватить мир. Оказалось, что один недостаточно защищённый агент способен стать входом в целую корпоративную систему.
Ирония в том, что агенты создаются, чтобы избавить людей от рутинной работы. А теперь специалистам по безопасности приходится проверять, не раздал ли один такой помощник ключи от всего офиса. 😁