AWS AgentCore 单提示劫持全账号：RooHome 全景雷达
\n Zenity Labs researchers say a single publicly accessible AI agent on Amazon's Bedrock AgentCore was enough to take over every AgentCore agent in the same AWS account and
AWS AgentCore 单提示劫持全账号：RooHome 全景雷达
AWS AgentCore 单提示劫持全账号：RooHome 全景雷达是 2026 年 10 月 8 日 Zenity Labs 研究人员发现的一类平台级安全问题。该研究发现，通过一个公开可访问的 AI Agent，只需一条自然语言提示，就能完全接管同一 AWS 账号内所有 AgentCore 智能体。
当你为企业构建、部署或管理 AI 智能体时，这个问题直接影响权限隔离、数据保护和长期记忆的安全。RooHome 的 AI 价格雷达为你提供统一视角，帮助决策者快速判断是否需要切换服务或调整权限策略，避免因平台漏洞带来的损失。
如果你已经在 AWS Bedrock AgentCore 上运行多个智能体，建议立即对照最新官方定价和安全配置页进行审计。决策前，推荐参考 RooHome 的 AI 比价路径和四模块对照指南，结合实际使用场景选择合适方案。
什么是 AgentCore 单提示劫持
Zenity Labs 将这一漏洞命名为 AgentCorruption。核心在于 AgentCore 默认权限过宽，以及平台内部隔离机制不完善。
研究人员测试时，仅向一个公开客户支持智能体发送一条提示，该智能体便返回自身临时 AWS 凭证（包括访问密钥和会话令牌）。此凭证可用于在外部执行任意 AWS 操作，从而绕过 AgentCore 边界。
攻击路径可分为以下几步：
- 通过公共工具或命令行界面触发
- 检索 Instance Metadata Service（IMDS）信息
- 下载所有 Agent 的源代码包
- 读取私有对话记录
- 修改长时记忆以实现持久控制
AWS 已于 2026 年 8 月后逐步修复部分问题：新部署智能体默认启用 IMDSv2，并收紧了默认执行角色。研究人员仍建议公司自行创建最小权限角色。
真实场景与适用人群
典型应用场景包括：
- 企业客服智能体处理支持工单
- 内部工具智能体调用 AWS 服务管理资源
- 跨部门协作智能体共享数据
适合使用 AgentCore 的群体：
- 已有多个 AI 智能体的中大型企业
- 使用 Cursor、Claude Code 或类似工具构建自定义 Agent 的开发者
- 预算有限但需要跨账号/跨区域部署的团队
如果你的场景涉及敏感数据（如源代码、密码或用户对话），必须严格控制权限。
为什么不需要过度担心，但仍需注意
平台级默认权限曾被广泛用于区域内所有 Agent，此类漏洞并非针对特定账号。AWS 现在通过默认 IMDSv2 和角色收紧，已将风险大幅降低。
然而，任何平台安全都存在边界：AI 智能体因“创造空间”需要比传统应用更宽的权限。这正是 RooHome 雷达站帮助你识别的点——在权衡功能性和安全时，统一数据是最优决策依据。
怎么走：RooHome 四模块分流路径
RooHome 提供四个独立模块供你选择，结合具体需求快速进入对应路径：
1. 风险评估模块
输入你的 AgentCore 使用规模和敏感程度，即可生成风险等级报告。
2. 价格比价模块
实时对比 AWS AgentCore 与 OpenAI、Grok、阿里云等平台的计费。
3. 工具与集成模块
支持 Cursor、Claude Code 等 IDE 修改器和 API 中转服务。
4. 订阅与治理模块
管理长期记忆、权限策略和账单监控。
决策流程：先走风险评估 → 查看当前价格雷达 → 决定是否切换独立垂直主题站（如 API 集成或安全配置页面）。
风险与边界
此漏洞主要源于平台默认角色过宽和隔离不足。AWS 已通过补丁缓解，属于已知可控范围。
升级后若仍使用旧默认角色，依然可能存在边缘风险。请以官方文档为准。
非法律意见声明：本文仅为信息分享，不构成法律、审计或安全建议。实际操作请参考 AWS 官方文档及专业安全审计机构。
延伸阅读
Risk & Boundary
This vulnerability stems from overly broad default permissions and insufficient isolation in AWS Bedrock AgentCore. AWS has applied patches and now defaults to IMDSv2 with tightened roles, but companies must still implement least-privilege access.
Upgrading to new defaults significantly reduces risk, but older deployments may retain edge exposure. Always verify against official documentation.
Disclaimer: This is informational only and does not constitute legal, audit, or security advice. For production use, consult AWS official docs and professional security experts.
English summary
On October 8, 2026, Zenity Labs researchers discovered that a single public AI agent in Amazon Bedrock AgentCore was enough to hijack all other agents in the same AWS account and region. The flaw allowed credential theft from the Instance Metadata Service and full access to source code, private conversations, and long-term memory across the account.
AWS has since made IMDSv2 the default and tightened the execution role, reducing but not eliminating the issue. Enterprises using AgentCore should review their IAM policies and assign minimal permissions.
RooHome AI price radar helps users quickly compare options across providers while keeping them updated on platform risks. For custom integrations or security configurations, check our linked vertical resources.
This story highlights the growing tension between AI agent flexibility and cloud security best practices.