AWS AgentCore 单提示劫持：GrokCode 编码模型风险

这是什么：AWS Bedrock AgentCore 平台上，一个公开可访问的 AI 代理通过单一提示指令，就能接管同一 AWS 账号和区域内所有 AgentCore 代理，实现对源代码、密钥、私有对话和长期记忆的读取与修改。

谁适用：使用 Cursor、Claude Code、OpenAI 或 Grok 等编码代理工具构建企业级 AI 代理的团队，尤其依赖 AgentCore 的开发与运维人员。

怎么决策：如果你的项目运行在共享 AWS 账号中，或代理依赖默认执行角色，请立即评估隔离与权限边界；否则可继续使用，但需额外审计代理行为。

2026 年 10 月，Zenity Labs 研究人员通过公开代理链发现这一“AgentCorruption”攻击链：一个聊天消息就能让代理向外部服务器泄露自身 AWS 元数据凭证，并利用平台默认角色权限，操作同一区域内所有代理。 [[1]](https://the-decoder.com/a-single-prompt-was-enough-to-hijack-every-ai-agent-in-an-aws-account-zenity-researchers-found/) [[2]]

AgentCore 简要概述

AgentCore 是 Amazon Bedrock 推出的企业级 AI 代理平台，支持 LangGraph、Strands 等框架，内置工具、记忆和访问控制。它让企业快速部署具备代码执行、网页浏览和外部工具的代理，但默认权限设置存在系统性风险。

GrokCode 作为 API 中转与模型天梯站点，持续跟踪这类平台安全动态，帮助开发者在编码模型风险评估中做出合理解决。

攻击链全流程

攻击始于一个公开可访问的代理，例如客服或编码代理。研究人员通过普通聊天提示让代理查询 AWS Instance Metadata Service（IMDS），该服务位于内部地址 169.254.169.254。代理因平台隔离不足，直接泄露临时 AWS 凭证，包括密钥和会话令牌。 [[1]](https://the-decoder.com/a-single-prompt-was-enough-to-hijack-every-ai-agent-in-an-aws-account-zenity-researchers-found/)

泄露凭证后，攻击者无需继续依赖原代理，即可从自身设备接管权限。接下来，利用默认执行角色（region-wide），代理可：

• 列出所有代理
• 下载源代码包
• 读取私有对话记录
• 修改长期记忆（注入指令后，未来对话可能转向攻击者）
• 从 AWS Secrets Manager 提取密钥（包括外部服务密钥）

记忆中毒和凭证盗取形成持久威胁：代理“反叛”后，用户对话仍被代理处理，但内容被篡改。

风险影响与现实案例

此漏洞影响所有使用 AgentCore 的企业代理，特别在代码代理（如 Cursor、Claude Code）场景下，攻击者可窃取 API 密钥，导致下游编码任务被污染。AWS 已在 2025 年 12 月报告后逐步修复：新部署代理默认启用 IMDSv2，默认执行角色权限收紧（不再允许跨代理调用或秘密管理访问）。

但默认角色仍需手动调整，否则新代理可能复现类似风险。GrokCode 建议开发者参考官方 API 文档，评估自身账号隔离情况。

常见风险与边界

注意：以上仅为技术分析，非安全审计报告。

风险与边界

此问题源于平台设计中“创造空间与最小权限”的天然张力：AI 代理需足够灵活以执行复杂任务，但默认设置缺乏严格隔离。AWS 已通过补丁缓解，但企业仍需手动强化边界。

非法律意见声明：本文基于 Zenity Labs 公开研究与 AWS 平台文档总结，仅供技术参考，不构成任何法律、合规或投资建议。实际风险评估请咨询专业安全团队。

延伸阅读

• GrokCode API 中转页面 —— 了解多平台 API 中转最佳实践
• 模型天梯测试工具 —— 对比编码代理性能与安全特性
• 本地部署实验室 —— 评估自建代理隔离方案
• 官方 API 参考 —— 查看 AWS Bedrock 最新权限文档
• 编码模型风险检查清单 —— 代理安全自查模板

English summary

Zenity Labs researchers discovered that a single prompt sent to one publicly accessible AI agent on Amazon's Bedrock AgentCore platform was enough to hijack every AgentCore agent in the same AWS account and region. The attack exploited weak isolation and default execution roles that granted region-wide permissions, allowing agents to leak temporary AWS credentials via the Instance Metadata Service, download source code, read private conversations, and poison long-term memory. AWS has partially fixed the issues by defaulting to IMDSv2 and tightening execution roles, but companies are still advised to manually assign minimal-privilege roles. This systemic flaw highlights the challenges of balancing AI agent utility with least-privilege security in cloud environments. GrokCode tracks such risks to help developers safely integrate coding agents like Cursor or Claude Code with Grok API or local models.