AgentCorruption: Risiko Serangan Satu Prompt Terhadap AWS Bedrock AgentCore

AgentCorruption: Risiko Serangan Satu Prompt Terhadap AWS Bedrock AgentCore

AI agent kini digunakan dengan pantas, namun kecenderungan untuk menyambungkan agent ini ke sumber cloud tanpa kawalan yang ketat boleh menimbulkan jurang keselamatan yang bahaya. Kajian daripada Zenity Labs menunjukkan bahawa satu prompt berniat jahat yang dihantar ke agent AWS Bedrock AgentCore yang boleh diakses awam sudah cukup untuk mengawal semua agent AgentCore dalam akaun AWS dan region yang sama.

Rantaian Serangan AgentCorruption

Zenity Labs menemui satu rantaian kelemahan dalam Amazon Bedrock AgentCore yang dinamakan "AgentCorruption". Masalah utama berpunca daripada percanggahan antara cara AI agent beroperasi dengan cara infrastruktur cloud sepatutnya menguatkuasakan prinsip keistimewaan minimum (least privilege). Penyerang yang hanya mempunyai akses chat kepada satu agent awam boleh mengeksploitasi akses itu untuk melompat ke seluruh deployment AgentCore dalam akaun yang sama.

Titik utama serangan ini ialah akses kepada Amazon EC2 Instance Metadata Service (IMDS). Bedrock AgentCore menjalankan agent di dalam Firecracker MicroVM. Zenity mendapati MicroVM ini tidak mempunyai pengasingan rangkaian yang mencukupi daripada IMDS, menyebabkan agent yang boleh membuat permintaan HTTP berupaya menanya endpoint metadata instance. Permintaan itu akan mengembalikan kredensial AWS sementara yang dikaitkan dengan peranan IAM bagi instance itu.

Kelas serangan ini bukanlah sesuatu yang baharu. Pencerobohan Capital One pada 2019 mengeksploitasi Server-Side Request Forgery (SSRF) untuk mencapai IMDS dan mencuri kredensial. Perbezaan AgentCorruption ialah pintu masuk serangan: bukannya mengeksploitasi kelemahan SSRF dalam aplikasi web, penyerang memanipulasi keupayaan agent untuk memanggil alatan bagi membuat permintaan HTTP itu.

Daripada Satu Agent Kepada Penguasaan Keseluruhan

Setelah memperoleh kredensial sementara, radius letupan serangan menjadi faktor paling kritikal. Zenity mendapati peranan lalai AgentCore IAM memberikan kebenaran yang jauh lebih luas berbanding apa yang diperlukan oleh satu agent sahaja. Dengan kredensial itu, penyerang boleh:

• Melompat antara agent: Memanggil agent AgentCore lain dalam akaun dan region yang sama.
• Mengakses data peribadi: Membaca perbualan peribadi dan sesi agent.
• Mencuri rahsia: Mengakses kredensial dan rahsia lain yang disimpan dalam AWS Secrets Manager.
• Meracuni memori agent: Memanipulasi konteks yang disimpan untuk mengekalkan kawalan atau memesongkan tingkah laku agent pada masa hadapan.

Secara praktikal, satu prompt yang dihantar kepada agent awam dengan kebenaran yang terlalu luas sudah cukup untuk melaksanakan keseluruhan rantaian serangan ini. Autonomi yang menjadikan agent berguna — keupayaan mereka untuk menaakul, merancang dan memanggil alatan — turut menjadi mekanisme yang melaksanakan serangan apabila diarahkan.

Tindak Balas AWS

Amazon telah membetulkan kelemahan ini selepas pendedahan dibuat. Pembetulan utama termasuk:

• Menguatkuasakan IMDSv2: Semua agent baharu yang di-deploy melalui Bedrock AgentCore kini menggunakan IMDSv2, iaitu kaedah pengesahan berasaskan token berbanding IMDSv1 yang tidak memerlukan pengesahan.
• Mengetatkan peranan lalai: AWS telah mengurangkan kebenaran yang terlalu luas yang sebelum ini membenarkan pemanggilan merentas agent, pembacaan perbualan peribadi dan akses kepada Secrets Manager melalui peranan lalai AgentCore.

Deployment sedia ada tidak boleh dianggap selamat secara automatik. Organisasi yang telah menggunakan AgentCore sebelum pembetulan perlu menyemak dan mengukuhkan konfigurasi masing-masing.

Langkah Mitigasi Untuk Organisasi

Kes AgentCorruption mengulangi prinsip keselamatan cloud yang lama, namun kini perlu diaplikasikan kepada sistem berasaskan agent:

• Amalkan keistimewaan minimum: Beri setiap agent hanya kebenaran yang benar-benar diperlukan. Jangan bergantung kepada peranan lalai yang dikongsi untuk agent dengan tujuan berbeza.
• Anggap agent sebagai pengguna yang tidak boleh dipercayai: Jika agent boleh diakses awam atau menerima input yang tidak dipercayai, anggap ia boleh dipaksa. Sahkan setiap panggilan alatan dan hadkan endpoint yang boleh dicapai.
• Sekat akses IMDS jika tidak diperlukan: Hadkan agent daripada mencapai 169.254.169.254. Penggunaan IMDSv2 adalah langkah pengukuhan yang perlu, namun kawalan rangkaian dan sekatan egress turut membantu mengecilkan radius letupan.
• Kukuhkan antara muka agent: Antara muka chat awam untuk agent berkuasa tinggi perlu dianggap sebagai permukaan serangan berisiko tinggi dengan had kadar, penapisan input dan guardrails yang kukuh.
• Audit secara berterusan: Semak kebenaran agent, rahsia yang disambungkan, dan laluan panggilan merentas agent. Pantau penggunaan alatan yang luar biasa, terutamanya panggilan HTTP ke endpoint metadata.

Kesimpulan Utama

AgentCorruption menjadi peringatan bahawa menyambungkan agent autonomi ke infrastruktur cloud tanpa skop yang ketat adalah tidak selamat. Penyelesaiannya bukanlah dengan mengurangkan keupayaan agent, tetapi dengan menguatkuasakan pengasingan dan prinsip keistimewaan minimum sama seperti mana-mana perkhidmatan atau workload lain. Memandangkan agent bertindak berdasarkan prompt bahasa semula jadi, satu ayat boleh menjadi tindakan jauh — justeru setiap kebenaran perlu wajar dan dibuktikan keperluannya.

Sumber Rujukan

• Dark Reading: 'AgentCorruption' Puts AWS Environments At Risk With Single Prompt
• Zenity Labs: AgentCorruption: How A Single Prompt Collapsed The Entire Cloud Security Model