Ein einziger öffentlich erreichbarer KI-Agent auf Amazons Bedrock AgentCore reichte Forschern von Zenity Labs nach eigenen Angaben aus, um alle AgentCore-Agenten im selben AWS-Konto und derselben Region zu übernehmen.
Amazon Bedrock AgentCore ist AWS' Plattform, auf der Unternehmen KI-Agenten samt Tools, Gedächtnis und Zugangsverwaltung betreiben. Laut der Sicherheitsfirma Zenity Labs wies sie eine Kette von Schwachstellen auf, die die Forscher "AgentCorruption" nennen.
Ein Angreifer brauchte demnach nur Chatzugang zu einem einzigen öffentlich zugänglichen Agenten. Mit einem Prompt hätten die Forscher alle AgentCore-Agenten vom selben AWS-Konto in derselben Region übernommen. Sie konnten private Gespräche mitlesen, Quellcode herunterladen und gespeicherte Zugangsdaten abgreifen. Laut Zenity war das Problem systemisch: Betroffen waren Agenten mit eingebauten Tools über AWS-Konten hinweg.
Agent verrät seine eigenen Zugangsdaten
Ausgangspunkt ist ein altbekanntes Cloud-Problem: Bei AWS gibt es den Instance Metadata Service unter der internen Adresse 169.254.169.254. Er liefert unter anderem temporäre Zugangsdaten, mit denen sich eine Instanz oder Workload gegenüber AWS ausweist. Dieser liefert unter anderem temporäre Zugangsdaten, mit denen die Instanz gegenüber AWS ihre Identität verifiziert. Wer diese Daten erbeutet, kann sich als die Instanz ausgeben.
Normalerweise sollte ein KI-Agent diesen Dienst nicht erreichen. Laut dem technischen Blogbeitrag fehlte bei AgentCore jedoch eine ausreichende Abschottung. Die Forscher bauten einen Testagenten mit Strands, einem Open-Source-Framework von AWS, das ein Web-Tool gleich mitbringt. Sie baten den Agenten in Alltagssprache, den Metadatendienst abzufragen und das Ergebnis an einen externen Server zu schicken. Der Agent tat es. "Die Sandbox-Grenze, gegen die wir eigentlich kämpfen sollten, war schlicht nicht da", schreiben die Forscher.
Eine einzige Chatnachricht im Kundenservice-Fenster brachte den Agenten dazu, seine eigenen AWS-Zugangsdaten an einen fremden Server zu schicken. | Bild: Zenity LabsDie erbeuteten Zugangsdaten funktionierten auch außerhalb der Plattform auf dem Rechner der Forscher. Ab diesem Punkt brauchten sie den Agenten nicht mehr. Der Metadatendienst gab zudem weitere sensible Informationen preis. Darunter waren Zertifikats- und Schlüsselmaterial für einen internen AWS-Dienst sowie eine vorsignierte URL zu einem internen S3-Speicher, der nicht zum Konto der Forscher gehörte.
Der Metadatendienst gab die temporären AWS-Zugangsdaten des Agenten vollständig heraus, inklusive Schlüssel und Sitzungstoken. | Bild: Zenity LabsEin Verzicht auf das Web-Tool hätte laut Zenity nicht geholfen. Der Angriff klappte ebenso über ein Kommandozeilen-Tool, weil das Problem in der Plattform selbst liegt.
Eine Standardrolle als Generalschlüssel
Den eigentlichen Schaden ermöglichten die Rechte, die AgentCore jedem Agenten standardmäßig zuweist. Sie waren laut Zenity nicht auf den einzelnen Agenten beschränkt, sondern galten für alle Agenten der Region. Sie umfassten neben Lese- auch Schreib- und Löschrechte, bis zu destruktiven Aktionen.
Ein automatisiertes Skript zog die Container-Images aller Agenten der Region und kopierte deren Quellcode. | Bild: Zenity LabsDamit konnten die Forscher eine Liste aller Agenten abrufen, deren Programmpakete in Sekunden herunterladen und jeden einzelnen aufrufen. In solchen Paketen stecken neben Quellcode oft auch vergessene Passwörter oder API‑Schlüssel. Ein Beispiel: Ein Angreifer könnte über einen Kundenservice-Agenten im Internet zu einem internen Finanz-Agenten wechseln und auf dessen Daten zugreifen. Auch sämtliche privaten Gespräche zwischen Nutzern und Agenten waren lesbar.
Mit den erbeuteten Zugangsdaten ließen sich private Unterhaltungen anderer Nutzer mit beliebigen AgentCore-Agenten der Region auslesen. | Bild: Zenity LabsBei Agenten mit aktiviertem Langzeitgedächtnis konnten die Forscher dieses Gedächtnis manipulieren. Laut dem Beitrag zum Memory Poisoning pflanzten sie Anweisungen ein, die Agenten dazu brachten, künftige Gespräche an ein fremdes Ziel weiterzuleiten. Nutzer hätten weiter mit einem scheinbar vertrauenswürdigen Agenten gesprochen, ohne etwas zu bemerken.
Zudem griff das Schutzkonzept für Passwörter und API-Schlüssel nicht. AWS empfiehlt, solche Zugangsdaten getrennt vom Agenten in einem gesicherten Speicher abzulegen. Die Standardrechte erlaubten laut dem Beitrag zum Datendiebstahl aber genau den Zugriff darauf. Das galt auch für Schlüssel zu Diensten außerhalb von AWS.
AWS bessert nach
Zenity meldete die AgentCore-Funde nach eigenen Angaben am 25. Dezember 2025 an AWS. Nach der Meldung machte AWS IMDSv2 zum Standard für AgentCore-Deployments. IMDS steht für Instance Metadata Service: Das ist ein cloud-interner AWS-Dienst, über den Workloads Informationen über ihre Laufzeitumgebung und temporäre Zugangsdaten abrufen können. Genau dieser Dienst war in Zenitys Angriff der erste Hebel. Mit IMDSv2 setzt AWS nun auf eine stärker abgesicherte Version; neu bereitgestellte Agenten starten seither damit. Außerdem gilt: Zenity betreibt selbst eine Sicherheitsplattform für KI-Agenten und hat damit ein geschäftliches Interesse an Sicherheitsbefunden in diesem Bereich.
Ein weiterer Kritikpunkt betraf die weitreichende Standard-Ausführungsrolle von AgentCore. Nach Zenitys aktualisierter Darstellung nahm AWS etwa im August Änderungen an dieser Rolle vor. Die aktualisierte Rolle enthielt demnach nicht mehr jene Berechtigungen, mit denen Agenten andere Agenten aufrufen, private Gespräche lesen oder in AWS Secrets Manager gespeicherte Zugangsdaten abrufen konnten; weitere Berechtigungen seien deutlich eingeschränkt worden. Die Forscher raten Unternehmen dennoch, für ihre Agenten eigene, enger gefasste Rollen anzulegen. Mehr dazu steht in der Analyse der Standardrolle.
Zenity-CTO Michael Bargury sieht darin einen grundsätzlichen Konflikt: "Bei Cloud-Sicherheit geht es um Segmentierung und minimale Zugriffsrechte. KI-Agenten brauchen jedoch ihren kreativen Freiraum, um nützlich zu sein." Jedes Unternehmen, das Agenten in der Cloud betreibe, stehe vor dieser Abwägung. Da öffentliche und interne Agenten oft in derselben Umgebung laufen, könne eine einzige Schwachstelle die Grenzen des gesamten Systems aufheben.
Die AgentCore-Lücke reiht sich in eine Serie von Zenity-Funden ein, die einem ähnlichen Muster folgen: Eine harmlos wirkende Eingabe wendet einen Agenten gegen das eigene Unternehmen. Unter dem Namen AgentFlayer brachten die Forscher Salesforce Einstein, Copilot Studio und Cursor per Zero-Click-Angriff dazu, Kundendaten umzuleiten oder Zugangsdaten preiszugeben. Bei AgentForger reichte ein manipulierter ChatGPT-Link, um in OpenAIs Workspace Agents einen autonomen Agenten mit abgeschalteten Freigabepflichten anzulegen. Der Vergleich fällt für AWS wenig schmeichelhaft aus. OpenAI schloss jene Lücke binnen vier Tagen, während die überzogenen AgentCore-Standardrechte Monate nach der Meldung weiter bestehen. Das betrifft eine Plattform, die AWS für alle Unternehmen freigegeben hat und die laut Amazon unter anderem Sony und Ericsson nutzen.
Dass gerade das Gedächtnis von Agenten zum Einfallstor wird, deckt sich mit Befunden aus der Forschung. Google Deepmind führt die Manipulation des Langzeitgedächtnisses in seiner Taxonomie der "AI Agent Traps" als eigene Angriffsklasse. Schon wenige vergiftete Dokumente in einer Wissensbasis reichen demnach, um Antworten gezielt zu verfälschen. In der Red-Teaming-Studie "Agents of Chaos" ließ sich ein OpenClaw-Agent über ein extern bearbeitbares Dokument fernsteuern, das in seiner Gedächtnisdatei verlinkt war. Ein anderer Agent gab ungeschwärzte Bankdaten heraus. Die naheliegende Gegenmaßnahme formulierte OpenAI-Chef Sam Altman selbst: Agenten sollten nur den minimal notwendigen Zugriff erhalten. Genau dieses Prinzip verletzt laut Zenity die Standardrolle von AgentCore.
KI-News ohne Hype – von Menschen kuratiert
Mit dem THE‑DECODER‑Abo liest du werbefrei und wirst Teil unserer Community: Diskutiere im Kommentarsystem, erhalte unseren wöchentlichen KI‑Newsletter, 6× im Jahr den "KI Radar"‑Frontier‑Newsletter mit den neuesten Entwicklungen aus der Spitze der KI‑Forschung, bis zu 25 % Rabatt auf KI Pro‑Events und Zugriff auf das komplette Archiv der letzten zehn Jahre.
