🛡 VULNERABILIDADES 🛡

AgentCorruption' pone en riesgo entornos de AWS con un solo comando.

⏰9 de octubre de 2026🛡CyberObservatorio

Idioma

◢ VULNERABILIDADES ◣

AgentCorruption' pone en riesgo entornos de AWS con un solo comando.

⟫ 08/10/2026 ⟫ Rob Wright

Fuente: Dark Reading

**Introducción contextual**

En el ámbito de la ciberseguridad, el auge de la inteligencia artificial (IA) y la computación en la nube ha suscitado tanto oportunidades como riesgos. A medida que las empresas adoptan estas tecnologías para mejorar su eficiencia y agilidad, también deben ser conscientes de las vulnerabilidades que pueden surgir de su interconexión. La reciente exposición de una falla crítica en AWS Bedrock AgentCore, presentada por Tamir Ishay Sharbat, director de investigación de seguridad en Zenity Labs, durante la conferencia SecTor 2026 en Toronto, destaca la importancia de abordar estas preocupaciones de manera proactiva. Esta vulnerabilidad no solo afecta a organizaciones que utilizan servicios de Amazon Web Services (AWS), sino que también plantea preguntas sobre la seguridad de la infraestructura en la nube en general.

**Detalles técnicos**

La vulnerabilidad en cuestión, identificada por Zenity como "AgentCorruption", permite que los agentes desplegados a través de Bedrock AgentCore accedan a los Servicios de Metadatos de Instancia (IMDS) de la organización. Los IMDS son fundamentales en la plataforma de AWS, ya que almacenan información sensible como credenciales temporales, identificadores de instancia y configuraciones. Sharbat demostró que, mediante una simple consulta a un chatbot expuesto al público, era posible no solo controlar el agente en cuestión, sino también tomar el control de todos los agentes en la misma cuenta y región de AWS.

La raíz del problema radica en la falta de aislamiento adecuado en el entorno de ejecución de los agentes, que funcionan dentro de un MicroVM de Firecracker. Este entorno no cuenta con las medidas necesarias para evitar que un agente malicioso realice solicitudes HTTP al endpoint de los IMDS. Esto significa que un atacante podría manipular cualquier agente con capacidad para realizar estas solicitudes, comprometiendo así la integridad y la seguridad de la información sensible.

El ataque de "AgentCorruption" se asemeja al incidente de la filtración de datos de Capital One en 2019, donde un atacante explotó una vulnerabilidad SSRF (Server-Side Request Forgery) para acceder a los IMDS y obtener credenciales. Sharbat afirmó que esta brecha se debió a la falta de implementación del principio de menor privilegio en el servicio de metadatos, lo que se aplica también al ataque de AgentCorruption, donde un agente público mal configurado actúa como vector de ataque.

**Datos fácticos**

Zenity notificó a AWS sobre la vulnerabilidad en diciembre de 2022 y posteriormente resaltó la cuestión del rol predeterminado sobreprivilegiado de AgentCore. En respuesta, AWS implementó una actualización en febrero de 2023, asegurando que todos los nuevos agentes desplegados utilizan IMDSv2, que requiere autenticación, y ajustando el rol predeterminado para eliminar permisos que permitían a los agentes invocar otros agentes y acceder a secretos almacenados en el AWS Secrets Manager.

A pesar de que hasta el momento no se han observado pruebas de explotación activa de esta vulnerabilidad, Sharbat advirtió que existe una "seguridad a través de la oscuridad" en el uso de AgentCore, lo que dificulta la identificación de los agentes desplegados. Aunque no se ha revelado públicamente cómo se podría rastrear esta información, Sharbat está convencido de que hay formas de hacerlo.

**Impacto y consecuencias**

La existencia de la vulnerabilidad "AgentCorruption" tiene implicaciones significativas para las organizaciones que utilizan AWS y otros servicios en la nube. Un ataque exitoso podría no solo comprometer un único agente, sino también extenderse a toda la región de AgentCore, lo que podría resultar en una violación masiva de datos. Este tipo de vulnerabilidad pone de relieve la necesidad urgente de implementar controles de acceso más estrictos y garantizar que el principio de menor privilegio se aplique de manera efectiva en los entornos de nube.

Con el aumento de la adopción de la IA y la nube, la industria debe estar alerta ante posibles tendencias similares a la vulnerabilidad de AgentCorruption, especialmente porque las configuraciones incorrectas y la falta de aislamiento podrían ser comunes en otros entornos de nube.

**Contexto histórico**

La brecha de Capital One en 2019 es un ejemplo paradigmático de cómo las fallas en la configuración de la nube pueden conducir a incidentes graves de seguridad. A medida que las empresas continúan migrando sus operaciones a la nube, es crucial aprender de estos incidentes pasados para evitar que se repitan errores similares. El caso de AgentCorruption resalta la necesidad de un enfoque riguroso en la seguridad desde el diseño, especialmente en el contexto de la creciente complejidad de los sistemas que integran IA y servicios en la nube.

**Recomendaciones**

Para mitigar los riesgos asociados con la vulnerabilidad de AgentCorruption y otros problemas similares, es fundamental que las organizaciones revisen sus configuraciones de seguridad en la nube. La implementación del principio de menor privilegio es esencial; esto significa que los agentes y servicios deben tener acceso limitado estrictamente a lo que necesitan para funcionar. Además, se recomienda realizar auditorías de seguridad regulares y adoptar prácticas de seguridad por diseño, lo que incluye el uso de autenticación robusta y el monitoreo continuo de actividades sospechosas.

En resumen, la intersección entre la inteligencia artificial y la nube presenta tanto oportunidades como desafíos. La identificación y corrección de vulnerabilidades como "AgentCorruption" son pasos críticos para garantizar un entorno más seguro para todas las organizaciones que confían en estas tecnologías.

◢ VULNERABILIDADES ◣

'AgentCorruption' Puts AWS Environments At Risk With Single Prompt

⟫ 08/10/2026 ⟫ Rob Wright

Source: Dark Reading

SecTor 2026 – Toronto –If one thing has become apparent over the past year, it's that AI and cloud computing don't mix well. That's according to Tamir Ishay Sharbat, director of security research at AI security vendor Zenity Labs, who detailed a now-patched flaw in AWS Bedrock AgentCore during a session at SecTor 2026 on Wednesday.Bedrock AgentCore, which launched last year, is AWS's managed platform for deploying and operating agents. But Sharbat andZenity's research teamtested the platform and found that agents deployed through Bedrock AgentCore could access the organization's Instance Metadata Services (IMDS), which contains sensitive data such as temporary credentials, instance IDs, and configurations. With a single prompt to a public facing chatbot, Sharbat discovered he could not only gain control over that specific agent but take over all agents on in the same AWS account and region. "Cloud and AI are kind of like fire and ice," Sharbat said. "And we're going to see how mixing them might go terribly." The core issue for Bedrock AgentCore involves a flaw with IMDS, which Zenity calls "AgentCorruption." Sharbat told the audience that IMDS has been a weakness for cloud environments "since the beginning," and highlighted the 2019Capital One data breach. In that incident, the attacker used an SSRF flaw to access the company's EC2 instance then then send requests to the IMDS to retrieve credentials and other sensitive data. The Capital One breach, Sharbat said, is "all because they didn't implement least privilege" for the metadata service. The same approach applies with an AgentCorruption attack, except the threat actor is manipulating a public-facing agent to do the work. Zenity researchers discovered they could send a request to the IMDS via a support agent for temporary credentials, and the agent complied. This is because, according to Zenity, an agent deployed through the AgentCore platform runs inside a Firecracker MicroVM, which doesn't have the necessary network isolation in place. Therefore, an attacker can use any agent with the ability to make HTTP requests to issue such a request to the IMDS' endpoint within the instance. "That was so freakin' easy," Sharbat said. With the temporary credentials in hand, Sharbat and his team began exploring how far their access could go, and how much of a blast radius there would be in an AgentCorruption attack. They discovered that the default AgentCore role included broad permissions across all AgentCore resources in the entire region, not just for this specific type of agent. As a result, the researchers could invoke additional agents, read sessions, and even accessan organization's secretsfrom AWS’s secrets manager. In addition the moving laterally across an AWS environment and obtaining privileged accounts, Sharbat said they could also engage inmemory poisoning attacksagainst the agents. In short, a single prompt to an over-privileged public-facing agent could lead to a full compromise of an entire AgentCore region. Sharbat said AgentCorruption illustrates the inherent conflict between cloud environments — which should implement isolation, theprinciple of least privilege(POLP), and strict access controls — and agentic AI, which typically have wide access and broad permissions across a network. Zenity initially reported the IMDS flaw to AWS in December, and later followed up with an additional report about AgentCore’s overprivileged default role and the wide blast radius. In response, AWS updated AgentCore in February so that all new agents deployed on the platform use IMDSv2, which requires authentication. Additionally, Zenity said AWS altered AgentCore's default role, removing the permissions that allowed agents to invoke other agents, read private conversations, and access secrets stored in AWS Secrets Manager, among other restrictions. Sharbat said Zenity hasn't seen any evidence of the flaw being exploited in the wild prior to AWS's fix because there's "security through obscurity" at work with AgentCore — it's difficult to tell what agents are deployed via the platform, which benefits AWS customers. However, Sharbat tells Dark Reading that while he's not aware of a way to look up who's running their agents on AWS BedRock, "I'm 100% sure there are ways to do it." Sharbat says Zenity's team currently is examining other cloud platforms to see if similar AgentCorruption issues exist. While the company isn't disclosing what those platforms are just yet, Sharbat says the IMDS weakness likely isn't limited to AgentCore. "It's something that agent builders need to be aware of," he says. "It's not specific to AWS." The best approach, Sharbat says, is to make sure the privileges are limited for the agent's specific role. "Even if someone gets to the IMDS, the blast radius will be a lot smaller."

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD