Un único prompt secuestró todos los agentes de IA de AWS en una región
Una falla de seguridad en Bedrock AgentCore de Amazon permite que un atacante controle todos los agentes de una cuenta engañando solo a uno.
Investigadores de Zenity Labs descubrieron una cadena de fallas de seguridad en Amazon Bedrock AgentCore, la plataforma de AWS para ejecutar agentes de IA empresariales con memoria, herramientas y controles de acceso. La falla, bautizada como AgentCorruption, significa que un único mensaje de chat enviado a un agente accesible públicamente fue suficiente para tomar el control de todos los agentes de AgentCore en la misma cuenta de AWS y región 1.
Cómo funciona el ataque
El problema comienza con un aislamiento inadecuado entre agentes. AWS ejecuta un Instance Metadata Service en la dirección 169.254.169.254, que entrega credenciales temporales que permiten a las cargas de trabajo autenticarse con servicios de AWS. Normalmente, un agente de IA no debería poder acceder a este servicio, pero AgentCore no lo bloqueaba correctamente, según el blog técnico de Zenity 1.
Los investigadores construyeron un agente de prueba usando Strands, un marco de código abierto de AWS. Cuando les pidieron al agente en lenguaje claro que consultara el servicio de metadatos y enviara los resultados a un servidor externo, el agente siguió las instrucciones. Como escribieron los investigadores: «El límite del sandbox que debíamos proteger simplemente no existía» 1.
Las credenciales robadas funcionaron fuera de la plataforma, por lo que los atacantes ya no necesitaban el agente para continuar el ataque 1.
Los permisos predeterminados exponían todo
La segunda parte del ataque fue posible gracias a los permisos predeterminados de AgentCore, que se aplicaban en toda la región en lugar de solo al agente que los recibía. Esto significaba acceso de lectura, escritura y eliminación para todos los agentes en la misma cuenta y región 1.
Con esos permisos, los investigadores podían listar todos los agentes, descargar sus paquetes de código en segundos e invocar cada uno. Esos paquetes a menudo contienen contraseñas olvidadas o claves de API junto con código fuente 1. Un atacante podría pasar de un agente de atención al cliente accesible públicamente a un agente interno de finanzas y acceder a sus datos. Los investigadores también podían leer todas las conversaciones privadas entre usuarios y agentes .
Para agentes con memoria a largo plazo, los investigadores podían alterar esa memoria para influir en el comportamiento futuro, insertando instrucciones que hacían que los agentes reenviaran futuras conversaciones a un destino externo sin que los usuarios se dieran cuenta 1.
AWS ha corregido parcialmente el problema
Zenity reportó los hallazgos a AWS el 25 de diciembre de 2025. AWS posteriormente hizo que IMDSv2 —una versión más segura del servicio de metadatos— fuera el valor predeterminado para los nuevos despliegues de AgentCore 2. Alrededor de agosto, AWS también ajustó el execution role predeterminado, eliminando la capacidad de los agentes para invocar a otros agentes, leer conversaciones privadas o recuperar credenciales de AWS Secrets Manager 1.
Sin embargo, los investigadores aún recomiendan que las empresas asignen manualmente a sus agentes de IA roles más estrictos con derechos de acceso mínimos, en lugar de confiar en los valores predeterminados 1. La lección subyacente permanece: incluso las correcciones parciales son mejores que nada, pero la defensa en profundidad importa para plataformas que manejan datos empresariales sensibles 3.
Los datos clave
- Un único prompt a un agente público dio a los atacantes control sobre todos los agentes de AgentCore en la misma cuenta de AWS y región
- La falla explotó un aislamiento de sandbox inadecuado, permitiendo que los agentes accedieran al servicio de metadatos interno en 169.254.169.254
- Los permisos predeterminados se aplicaban en toda la región, otorgando acceso de lectura, escritura y eliminación a todos los agentes
- AWS hizo que IMDSv2 fuera predeterminado y ajustó los execution roles, pero recomienda asignaciones manuales de roles más estrictos
- La vulnerabilidad se reportó a AWS el 25 de diciembre de 2025 y se divulgó en SecTor 2026 el 8 de octubre
Fuentes
- One public-facing AI agent on AWS could read, rewrite, and delete every other agent in the region — the-decoder.com
- AgentCorruption: One Prompt Hijacked Every Bedrock AgentCore Agent — explainx.ai
- Vulnerability in AWS Bedrock AgentCore Exposes AI Agents to Hijacking — threatcluster.io
- One Prompt, Every Agent in the Region: Zenity's AgentCorruption Turns ... — al-ice.ai