تحلیل حفره امنیتی در AWS AgentCore: نشت اعتبارات IAM از طریق تزریق پرامپت و SSRF

در اکتبر ۲۰۲۶ (مهر ۱۴۰۵)، گزارش‌های امنیتی منتشر شده توسط محققان Zenity Labs پرده از آسیب‌پذیری بحرانی در سرویس AWS AgentCore برداشت که به مهاجمان اجازه می‌داد با استفاده از یک پرامپت ساده، اعتبارات دسترسی موقت (IAM Credentials) را از سرویس متادیتای اینستنس (IMDS) استخراج کرده و کنترل کامل بر عامل‌های هوشمند (AI Agents) در یک اکانت AWS را به دست آورند.

ماهیت آسیب‌پذیری: SSRF در قلب عامل‌های هوشمند

هسته اصلی این مشکل امنیتی، عدم جداسازی شبکه در معماری MicroVM مبتنی بر Firecracker در AWS AgentCore بود. مهاجمان با بهره‌گیری از یک حمله Server-Side Request Forgery (SSRF)، عامل هوشمند را مجبور می‌کردند تا به نقاط پایانی داخلی (Internal Endpoints) متصل شود. در نسخه‌های اولیه، AgentCore از IMDSv1 استفاده می‌کرد که فاقد مکانیزم‌های احراز هویت سخت‌گیرانه بود. این امر به مهاجم اجازه می‌داد تا با ارسال یک درخواست ساده به نشانی متادیتای اینستنس، توکن‌های دسترسی IAM نقش (Role) تخصیص‌یافته به Agent را سرقت کند.

دسترسی‌های فراتر از حد (Over-privileged IAM Roles)

مشکل زمانی تشدید شد که مشخص گردید نقش‌های IAM پیش‌فرض در AgentCore به صورت بیش از حد مجاز (Over-permissioned) تعریف شده بودند. به جای آنکه هر عامل (Agent) تنها به منابع محدوده خود دسترسی داشته باشد، این نقش‌ها به تمامی منابع AgentCore در آن ناحیه (Region) دسترسی داشتند. این پیکربندی اشتباه باعث می‌شد که مهاجم پس از سرقت اعتبارات، بتواند عملیات زیر را به راحتی انجام دهد:

• مشاهده و استخراج حافظه (Memory) عامل‌های دیگر
• خواندن تاریخچه گفتگوهای کاربران و سشن‌های فعال
• تغییر رفتار عامل‌ها از طریق تزریق داده به دیتابیس‌های حافظه
• استخراج اسرار (Secrets) از سرویس AWS Secrets Manager

مسیر اصلاح و پاسخ‌دهی آمازون

محققان Zenity در دسامبر ۲۰۲۵ یافته‌های خود را به تیم امنیتی AWS گزارش کردند. اصلاحات در دو مرحله انجام شد: ابتدا در ۱۴ فوریه ۲۰۲۶ (بهمن ۱۴۰۴)، AWS استفاده از IMDSv1 را متوقف و سرویس را مجبور به استفاده از IMDSv2 کرد که ریسک SSRF را کاهش می‌دهد. با این حال، مشکل دسترسی‌های بیش از حد IAM تا ماه‌های میانی سال ۲۰۲۶ باقی ماند و نهایتاً در بازرسی‌های سپتامبر ۲۰۲۶ (شهریور ۱۴۰۵) تایید شد که AWS تمام موارد نشت داده را مسدود کرده است. آمازون در پاسخ رسمی، برخی از این یافته‌ها را رفتارهای مستند سیستم دانسته و تاکید کرده است که بهره‌برداری از این موارد نیازمند خطای پیکربندی از سوی توسعه‌دهندگان است.