Zenity Labs hat am 8. Oktober eine inzwischen behobene Angriffskette in Amazon Bedrock AgentCore beschrieben. In einer kontrollierten Untersuchung konnte das Team über einen öffentlich erreichbaren Agenten auf Ressourcen anderer Agenten innerhalb desselben AWS-Kontos und derselben Region zugreifen. Die Forscher nennen die Kette AgentCorruption. Eine Ausnutzung gegen fremde Produktivsysteme ist nicht belegt.
Eine Agentenidentität erhielt zu breite Cloud-Rechte
Der erste Befund betraf den Zugang des Agenten zu temporären Anmeldedaten seiner Laufzeitumgebung. Nach Darstellung von Zenity ließ sich ein Agent mit Web-Werkzeugen dazu bringen, diese Daten preiszugeben. Für die Reichweite des Befunds war anschließend das IAM-Berechtigungsmodell entscheidend: Die untersuchte Standardrolle war laut Zenity nicht auf den einzelnen Agenten begrenzt.
Das Team konnte damit in seiner Testumgebung auf weitere Agenten derselben Region zugreifen. Die demonstrierten Berechtigungen betrafen unter anderem private Sitzungshistorien, verknüpfte Geheimnisse und langfristige Agenten-Memory. Besonders der letzte Punkt unterscheidet die Untersuchung von gewöhnlichem Credential-Diebstahl: Eine unzulässige Änderung persistenter Erinnerungen könnte spätere Antworten beeinflussen, ohne dass der ursprüngliche Gesprächspartner den Eingriff bemerkt.
Zenitys Veröffentlichung belegt eine reproduzierte Angriffskette unter den damaligen Testbedingungen. Sie belegt nicht, dass sämtliche heutigen AgentCore-Installationen betroffen sind oder dass Angreifer die Kette im Alltag verwendet haben.
AWS widerspricht der Bewertung als Plattformschwachstelle
Dark Reading hat AWS mit den Vorwürfen konfrontiert. AWS bezeichnete die Darstellung von erwartetem und dokumentiertem Verhalten als Schwachstelle als unzutreffend und verwies auf die Verantwortung von Entwicklern, IAM-Rechte eng zu vergeben. Die Stellungnahme bezieht sich ausdrücklich auch auf Berechtigungen für Zugriffe über Kontogrenzen hinweg. Zenitys Demonstration beschränkt sich dagegen auf Agenten innerhalb eines Kontos und einer Region.
Nach Zenitys Angaben änderte AWS die Plattform nach der Meldung. Dark Reading berichtet, dass neue Agenten seit Februar eine geänderte Metadatenzugriffsregel erhalten und Standardberechtigungen eingeschränkt wurden. Die Forscher bestätigen, dass die beschriebenen Probleme inzwischen behoben sind. Eine öffentliche CVE oder eine unabhängige vollständige Reproduktion liegt nicht vor.
Agentenberechtigungen dürfen nicht regional geteilt sein
Ein Chat-Interface ist keine Sicherheitsgrenze für die Cloud-Rolle, unter der seine Werkzeuge laufen. Der dokumentierte Fehlerpfad zeigt, wie sich eine einzelne exponierte Agentenidentität mit übergreifenden Berechtigungen auf andere Workloads auswirken kann.
Für Betreiber folgt daraus eine konkrete Prüfung: Die Ausführungsrolle jedes Agenten sollte nur die für seine Aufgabe erforderlichen Ressourcen erreichen. Sitzungen, Memory und gespeicherte Zugangsdaten benötigen getrennte Autorisierungsentscheidungen. Das gilt unabhängig davon, ob ein Modell eine verdächtige Nutzeranweisung erkennt.
Quellen: Zenity Labs, 8.10.2026, https://labs.zenity.io/post/agentcorruption-how-a-single-prompt-collapsed-the-entire-cloud-security-model ; Dark Reading, aktualisiert 9.10.2026, https://www.darkreading.com/cloud-security/agentcorruption-aws-environments-at-risk-single-prompt