Un solo prompt ha dirottato tutti gli Agent AI di AWS in una regione

In breve

Cosa è successo: Un difetto di sicurezza in Amazon Bedrock AgentCore, il servizio AWS per eseguire assistenti AI aziendali con memoria e strumenti, ha consentito a un attaccante di controllare ogni agent in un account chattando con uno solo.
Perché conta: Le aziende che usano AWS per i loro agent AI rischiano che conversazioni private, credenziali e dati degli agent vengano esposti. La correzione è già operativa, ma la questione interessa principalmente le imprese, non gli utenti di app quotidiane.
Parole da sapere: Instance Metadata Service: un indirizzo AWS nascosto che distribuisce credenziali di accesso temporanee per i servizi
execution role: l'insieme di permessi assegnati automaticamente a un agent quando viene eseguito
AgentCore: Amazon Bedrock AgentCore è un servizio per la gestione di più agent AI

I ricercatori di Zenity Labs hanno scoperto una catena di difetti di sicurezza in Amazon Bedrock AgentCore, la piattaforma AWS per eseguire agent AI aziendali dotati di memoria, strumenti e controlli di accesso. Il difetto, chiamato AgentCorruption, significa che un singolo messaggio inviato a un agent pubblicamente accessibile era sufficiente per prendere il controllo di ogni agent AgentCore nello stesso account AWS e nella stessa regione ¹.

Come funziona l'attacco

Il problema nasce da un isolamento inadeguato tra gli agent. AWS esegue un Instance Metadata Service all'indirizzo 169.254.169.254, che distribuisce credenziali temporanee che permettono ai carichi di lavoro di autenticarsi con i servizi AWS. Normalmente, un agent AI non dovrebbe riuscire a raggiungere questo servizio, ma AgentCore non lo bloccava correttamente, secondo il post tecnico di Zenity ¹.

I ricercatori hanno costruito un agent di test usando Strands, un framework open-source di AWS. Quando hanno chiesto all'agent in linguaggio semplice di interrogare il metadata service e inviare i risultati a un server esterno, l'agent ha seguito le istruzioni. Come hanno scritto i ricercatori: "Il confine della sandbox in cui avremmo dovuto combattere semplicemente non esisteva" ¹.

Le credenziali rubate hanno funzionato anche al di fuori della piattaforma, quindi gli attaccanti non avevano più bisogno dell'agent per proseguire l'attacco ¹.

I permessi predefiniti esponevano tutto

La seconda parte dell'attacco è stata resa possibile dai permessi predefiniti di AgentCore, che si applicavano all'intera regione e non solo all'agent che li riceveva. Questo significava accesso in lettura, scrittura ed eliminazione per ogni agent nello stesso account e nella stessa regione ¹.

Con quei permessi, i ricercatori potevano elencare ogni agent, scaricare i loro pacchetti di codice in pochi secondi e invocarli. Quei pacchetti spesso contengono password dimenticate o chiavi API insieme al codice sorgente ¹. Un attaccante poteva passare da un agent di customer service rivolto al pubblico a un agent finanziario interno e accedervi. I ricercatori potevano anche leggere tutte le conversazioni private tra utenti e agent .

Per gli agent con memoria a lungo termine, i ricercatori potevano alterare quella memoria per influenzare il comportamento futuro, piantando istruzioni che facevano inoltrare gli agent le conversazioni future a una destinazione esterna senza che gli utenti se ne accorgessero ¹.

AWS ha parzialmente risolto il problema

Zenity ha segnalato le scoperte ad AWS il 25 dicembre 2025. AWS ha successivamente reso IMDSv2, una versione più sicura del metadata service, il default per i nuovi deploy di AgentCore ². Intorno ad agosto, AWS ha anche stretto il ruolo di execution predefinito, rimuovendo la possibilità per gli agent di invocare altri agent, leggere conversazioni private o recuperare credenziali da AWS Secrets Manager ¹.

Tuttavia, i ricercatori raccomandano ancora alle aziende di assegnare manualmente ai propri agent AI ruoli più restrittivi con accessi minimi, invece di affidarsi ai valori predefiniti ¹. La lezione di fondo resta: anche correzioni parziali sono meglio di niente, ma la difesa in profondità conta per le piattaforme che gestiscono dati aziendali sensibili ³.

I fatti principali

Un solo prompt a un agent pubblico ha dato agli attaccanti il controllo di ogni agent AgentCore nello stesso account AWS e nella stessa regione
Il difetto ha sfruttato un isolamento della sandbox inadeguato, permettendo agli agent di raggiungere il metadata service interno a 169.254.169.254
I permessi predefiniti si applicavano all'intera regione, concedendo accesso in lettura, scrittura ed eliminazione a tutti gli agent
AWS ha reso IMDSv2 il default e ha stretto i ruoli di execution, ma raccomanda assegnazioni manuali di ruoli più restrittivi
La vulnerabilità è stata segnalata ad AWS il 25 dicembre 2025 e divulgata a SecTor 2026 l'8 ottobre

Fonti

One public-facing AI agent on AWS could read, rewrite, and delete every other agent in the region — the-decoder.com
AgentCorruption: One Prompt Hijacked Every Bedrock AgentCore Agent — explainx.ai
Vulnerability in AWS Bedrock AgentCore Exposes AI Agents to Hijacking — threatcluster.io
One Prompt, Every Agent in the Region: Zenity's AgentCorruption Turns ... — al-ice.ai