AWS Bedrock AgentCoreで全乗っ取りの脆弱性が判明

エンタープライズAIセキュリティ企業のZenity Labsは、米Amazon Web Services（AWS）が提供する生成AIエージェント実行基盤「Amazon Bedrock AgentCore」において、単一のチャットプロンプトを介して同一AWSアカウント・同一リージョン内の全AIエージェントを完全に掌握できる深刻な脆弱性チェーン「AgentCorruption」を発見したと公表しました。外部公開されたカスタマーサポート窓口のAIエージェントなど、1つのエージェントに侵入されるだけで社内の非公開エージェントや機密データにアクセスされる危険性が浮き彫りになりました。AWSは報告を受けて修正パッチと権限厳格化を実施済みです。

IMDS経由の認証情報漏洩と過剰権限の連鎖

Zenity Labsの研究によると、この攻撃は2つの構造的欠陥が組み合わさることで成立していました。

• IMDS（クラウド仮想マシン内部で自身の一時認証情報等を取得するためのメタデータ配信サービス）への不正アクセス​: AgentCoreは各エージェントをFirecracker microVM（高速・軽量な分離環境を提供する仮想化技術）上で実行しますが、本来遮断されるべきメタデータエンドポイント（169.254.169.254）への通信が制限されていませんでした。研究チームがAWSのオープンソースフレームワーク「Strands SDK」で構築したエージェントに対し、平文のプロンプトで同アドレスの取得と外部送信を指示したところ、エージェントは容易に一時的なAWSアクセスキーやセッショントークンを外部へ送信しました。
• ​広範すぎるデフォルト実行ロール​: プラットフォームが各エージェントに割り当てていたデフォルトのIAM権限が、単一エージェントに限定されず同一リージョン内の全リソースに及んでいました。奪取した認証情報を用いることで、攻撃者はAmazon ECRから全エージェントのコンテナイメージを取得してソースコードを複製できたほか、他のユーザーとの非公開チャット履歴の閲覧、AWS Secrets Managerに保管された外部サービス連携用APIキーの窃取、さらにはエージェントの長期記憶を改ざんするメモリポイズニング（永続的な乗っ取り）が可能でした。

差分整理：一次調査と二次報道からみる根本課題

Zenity Labsの技術報告およびメディア報道（The Decoder、TNW）を整理すると、本脆弱性の核心は単なる「プロンプトインジェクション」にとどまらず、クラウド実行基盤の権限設計にあることが分かります。

観点	メディア報道の要点	Zenity Labs一次報告の技術詳細
​攻撃の入り口​	チャット窓口への1回の悪意あるメッセージ	Webツール・シェルツールを持つエージェントに対するSSRF（サーバー側リクエスト偽造）
​影響の範囲​	同一アカウント内の全エージェントを乗っ取り可能	ECRからのソースコード抽出、会話ログ閲覧、Secrets Manager認証情報窃取、長期記憶改ざん
AWSの対策​	メタデータアクセスの制限と権限縮小を実施	新規デプロイでのIMDSv2デフォルト化、2026年8月におけるデフォルト実行ロールの縮小改定
​残る推奨事項​	自動アップデートによる保護	デフォルトロールに頼らず、開発者が最小権限のカスタムロールを明示適用することを強く推奨

クラウドセキュリティとAI自律性のトレードオフへの展望

Zenity LabsのCTOであるMichael Bargury氏は、「クラウドセキュリティは厳格なセグメンテーションと最小権限の原則に基づくが、AIエージェントは有用性を発揮するために幅広い行動の自由を必要とする」と指摘しています。利便性を優先してプラットフォーム側の初期権限を緩く設定すると、1つの公開接点が侵害された際にシステム全体の境界が崩壊するリスクを今回の事例は示しました。

AWSはIMDSv2の強制や他エージェント呼び出し権限の剥奪などの対策を完了していますが、クラウド上で自律型AIエージェントを本番運用する企業にとっては、プラットフォーム任せにせず各エージェントに必要最小限の権限（Least Privilege）を個別に割り当てる設計規律の徹底が不可欠となります。

引用元：Zenity Labs | The Decoder | TNW | Security