Falha no Amazon Bedrock AgentCore permitia exfiltração de credenciais

Investigadores da Zenity Labs descobriram uma vulnerabilidade no Amazon Bedrock AgentCore que permitia a extração de credenciais via prompts simples.

Vulnerabilidade permitia acesso a credenciais de agentes

Uma falha de segurança no Amazon Bedrock AgentCore, descoberta por investigadores da Zenity Labs, permitia que utilizadores externos extraíssem credenciais temporárias de agentes através de um simples prompt. O problema residia na forma como o serviço interagia com o Instance Metadata Service (IMDS) e na falta de isolamento de rede adequado no Firecracker MicroVM utilizado pelo AgentCore.

Segundo os investigadores Tamir Ishay Sharbat e Lana Salameh, um atacante com acesso de chat a um agente poderia enviar um prompt solicitando dados de credenciais em formato JSON. Ao obter estas credenciais, o atacante conseguia enumerar outros agentes na mesma região da AWS, aceder ao Amazon Elastic Container Registry (ECR) e até manipular memórias e sessões de outros utilizadores.

Contexto e correção

A falha, reportada à AWS em dezembro de 2025, deveu-se em parte à utilização do protocolo IMDSv1, que é menos seguro que o IMDSv2. Adicionalmente, as permissões por defeito do AgentCore eram demasiado abrangentes, permitindo que um atacante comprometesse recursos para além do âmbito de um único agente.

A AWS confirmou a correção do problema em fevereiro de 2026, com a transição obrigatória para o IMDSv2 no AgentCore. Contudo, a Zenity Labs notou que as permissões excessivas persistiram até meados de 2026, tendo a situação sido totalmente resolvida apenas em setembro de 2026. Este caso sublinha a importância da gestão de permissões em ambientes de IA na cloud, um tema recorrente na segurança de infraestruturas modernas, tal como discutido em temas de investigação e cloud.

Para utilizadores e empresas que utilizam serviços de agentes na AWS, é fundamental garantir que as políticas de IAM seguem o princípio do privilégio mínimo e que todas as instâncias estão configuradas para utilizar exclusivamente o IMDSv2.

Fontes

• https://www.theregister.com/security/2026/10/09/aws-agentcore-security-undone-by-prompt-requesting-credentials/5302436