Une seule invite menace les agents AWS

L’histoire: une invite, un agent, trop de privilèges

Le titre de travail tient en une phrase: une seule invite menace les agents AWS. Le 8 octobre 2026, Zenity Labs a publié AgentCorruption, une chaîne de faiblesses visant Amazon Bedrock AgentCore dans laquelle les chercheurs disent avoir utilisé une invite envoyée à un agent public pour récupérer des identifiants cloud et atteindre d’autres agents AgentCore dans le même compte et la même région AWS [1].

Ce qui rend l’affaire importante, c’est que le scénario ne repose pas sur l’exploitation d’une faille web classique dans l’interface de discussion. Le point de départ était un agent doté d’une capacité courante: un outil capable d’effectuer des requêtes sortantes. En demandant à cet agent de contacter le service de métadonnées d’AWS, la requête partait depuis l’environnement d’exécution de l’agent et pouvait retourner des identifiants temporaires liés à son rôle d’exécution [1].

Autrement dit, une instruction en langage naturel devient une variante de server-side request forgery. Dans un chatbot ordinaire, une consigne malveillante peut provoquer une mauvaise réponse. Dans un système agentique connecté au cloud, elle peut déclencher un appel d’outil, une requête réseau, une récupération d’identifiants et une série d’actions API autorisées. Cyber Security News décrit justement ce cas comme une chaîne où l’agent exposé n’avait pas besoin d’une faille logicielle dans la page de chat: il lui suffisait d’obéir à la demande et d’utiliser un outil web ou shell autorisé [6].

Pourquoi AgentCore agrandissait le rayon d’explosion

AgentCorruption ne se limite pas au premier secret récupéré. Le vrai sujet est ce que ces identifiants permettaient de faire. Selon Zenity, le rôle d’exécution par défaut n’était pas strictement limité à l’agent compromis; il couvrait des ressources AgentCore dans le même compte et la même région AWS [1].

Cette nuance change tout. Si un identifiant ne peut agir que sur un seul agent, la compromission reste grave mais contenue. S’il permet d’énumérer, d’invoquer et de lire de nombreux agents, un point d’entrée public devient un pont vers des assistants internes, des workflows privés, de la mémoire longue durée et des outils connectés. Zenity affirme que les chercheurs ont pu accéder à des conversations privées, du code source, des mémoires longues, des clés API, des jetons OAuth et des secrets stockés dans AWS Secrets Manager [1].

The Next Web a aussi insisté sur ce périmètre précis après correction: la recherche concernait les agents d’un même compte et d’une même région AWS, et non tous les agents AWS de façon globale [2]. Cette correction est essentielle. L’histoire n’est pas qu’une phrase aurait fait tomber toute la plateforme AWS; elle est qu’un agent exposé, combiné à des permissions trop larges dans un compte et une région, pouvait effondrer des frontières que les équipes pensaient séparées [2].

La chaîne technique, simplement expliquée

La première étape était l’accès aux métadonnées. L’agent possédait un outil capable d’effectuer une requête HTTP, et l’invite lui demandait de joindre le service local de métadonnées. Ce service fournit des identifiants temporaires aux workloads cloud; l’agent a donc retourné du matériel d’identité utilisable hors de la conversation [1].

La deuxième étape était l’élargissement des permissions. Avec les identifiants du rôle d’exécution, les chercheurs pouvaient atteindre d’autres ressources AgentCore dans le même compte et la même région. Cyber Security News rapporte que Zenity a utilisé des permissions comme DescribeLogGroups pour trouver des identifiants d’agents, récupérer des images de conteneurs depuis Amazon ECR, invoquer des agents internes et lire des événements de session [6].

La troisième étape portait sur la persistance et l’exposition de secrets en aval. Zenity explique que la chaîne permettait de modifier la mémoire longue durée, donc d’ajouter des instructions cachées capables d’influencer le comportement futur d’un agent, ainsi que de récupérer des identifiants destinés à des services connectés via AgentCore Identity et Secrets Manager [1]. ThreatCluster a également identifié la manipulation de mémoire et l’accès à Secrets Manager parmi les risques associés au cluster AgentCorruption [4].

C’est pour cette raison que l’affaire dépasse les anciens titres sur l’injection de prompt. L’invite n’était pas seulement un texte persuasif. Elle devenait la première étape d’une séquence d’infrastructure: prompt, appel d’outil, requête au service de métadonnées, identifiants temporaires, API cloud, autres agents, mémoire et secrets.

La position d’AWS et l’état actuel

L’état actuel est plus nuancé qu’un simple « désastre non corrigé ». Le communiqué de Zenity indique que les résultats ont été signalés à AWS le 25 décembre 2025, et qu’AWS a ensuite fait d’IMDSv2 le comportement par défaut pour les déploiements AgentCore [1]. Zenity affirme aussi que ses tests ont confirmé une réduction des permissions du rôle d’exécution par défaut, notamment le retrait des autorisations permettant d’invoquer d’autres agents, de lire des conversations privées ou d’accéder à des secrets dans AWS Secrets Manager [1].

AWS conteste toutefois la qualification. The Next Web rapporte une déclaration d’AWS selon laquelle le comportement décrit est documenté et ne constitue pas une vulnérabilité, et selon laquelle un agent ne peut accéder à un autre compte AWS que si des permissions sont explicitement accordées à la fois au rôle d’exécution de l’agent et à la ressource cible [2]. Cyber Security News rapporte également qu’AWS considère l’accès d’un agent à ses propres identifiants de rôle via le service de métadonnées comme un comportement attendu et documenté [6].

Ces deux positions peuvent guider la défense. Zenity souligne qu’un ensemble de paramètres par défaut et d’outils agentiques créait une chaîne dangereuse en pratique. AWS rappelle que les identités de workloads et les permissions IAM restent la frontière de contrôle. Pour les équipes sécurité, la conclusion opérationnelle est la même: un agent public ne doit jamais fonctionner avec des permissions catastrophiques si l’agent peut être amené à les utiliser.

Ce que les défenseurs doivent vérifier

Premièrement, il faut inventorier tous les déploiements Amazon Bedrock AgentCore, identifier les agents exposés au public, les outils capables d’effectuer des requêtes réseau sortantes et le rôle IAM associé à chaque runtime. HackWatch a classé son alerte du 10 octobre comme un risque élevé de compromission d’identité et de compte, tout en rappelant que les équipes doivent vérifier la présence réelle du produit et de la configuration dans leur propre environnement avant de conclure à une exposition [5].

Deuxièmement, il faut examiner les rôles d’exécution à la recherche de jokers et de permissions régionales trop larges. Un agent de production ne devrait accéder qu’aux runtimes, mémoires, secrets et ressources aval dont il a strictement besoin. Si un même rôle peut invoquer tous les agents, lister toutes les sessions ou lire largement Secrets Manager, ce rôle devient un couloir de mouvement latéral.

Troisièmement, la mémoire des agents doit être traitée comme une frontière de sécurité. La mémoire n’est pas seulement une fonction de confort; elle peut devenir un mécanisme de persistance. Si un rôle compromis peut écrire dans la mémoire longue durée, une instruction hostile peut survivre à la première conversation et influencer les sessions suivantes.

Quatrièmement, les sorties réseau doivent être restreintes. Tout agent doté d’outils web, shell ou navigateur devrait être empêché d’atteindre les points de terminaison de métadonnées, sauf nécessité explicite et contrôle strict. Un système agentique ne doit pas être chargé de distinguer seul l’intention utilisateur des limites d’infrastructure.

La leçon générale

AgentCorruption montre que la sécurité des agents ne peut pas se réduire au filtrage des prompts. Les filtres peuvent limiter certains abus évidents, mais le vrai plan de contrôle se situe dans l’identité, le réseau, les autorisations d’outils et le périmètre des secrets.

Le meilleur modèle mental consiste à arrêter de parler seulement de « chatbots ». Un agent cloud est un workload doté d’une identité, de permissions, d’outils, de mémoire et de routes réseau. S’il accepte du langage non fiable et peut agir sur des ressources cloud, chaque invite peut devenir une requête API déguisée.

La réponse n’est donc pas un garde-fou unique, mais un empilement de contrôles: isolation des prompts, moindre privilège strict, identifiants séparés par agent, secrets limités, accès aux métadonnées bloqué lorsque c’est possible, séparation des agents publics et internes dans des comptes distincts, et supervision reliant prompts, appels d’outils et événements cloud. Une seule invite ne devrait jamais ouvrir le mode dieu du cloud.

Sources des dernières 72 heures

1. [1]Zenity Labs Discloses AgentCorruption, a Chain of AWS AgentCore Flaws That Allowed One Prompt to Take Over All AgentCore Agents Within an AWS Account and Region8 oct. 2026, 15:01
2. [2]Zenity says one prompt took over every AgentCore agent in an AWS account8 oct. 2026, 16:14
3. [3]AgentCorruption tests expose cloud credentials through one AI agent8 oct. 2026, 21:00
4. [4]Vulnerability in AWS Bedrock AgentCore Exposes AI Agents to Hijacking9 oct. 2026, 16:34
5. [5]AWS Bedrock AgentCore Flaw Allowed Attackers to Hijack AI Agents Using a Single Prompt10 oct. 2026, 09:40
6. [6]One Prompt Could Hijack AWS AI Agents and Steal Cloud Credentials10 oct. 2026, 02:00

Article généré par IA à partir d’une recherche web récente, puis conservé comme instantané éditorial daté.