گزارش‌های اخیر از سوی پژوهشگران امنیتی در Unit 42 (متعلق به Palo Alto Networks) و Zenity Labs نشان می‌دهد که Amazon Web Services (AWS) با مشکلاتی تکرارشونده در کنترل‌های امنیتی عوامل خودمختار (Autonomous Agents) مواجه است. این آسیب‌پذیری‌ها حتی پس از اعمال وصله‌های امنیتی، به اشکال متفاوتی دوباره ظاهر شده‌اند که نشان‌دهنده یک چالش بنیادی در طراحی عوامل هوشمند است.
تضاد بین کاربرد و امنیت در عوامل هوشمند
مشکل اصلی تنها به AWS محدود نمی‌شود، بلکه ریشه در ماهیت عوامل AI دارد. برای اینکه یک عامل هوشمند مفید باشد، باید به ابزارها و دسترسی‌هایی داشته باشد که بتواند به‌طور مستقل کارهای عملیاتی انجام دهد. اما همین دسترسی‌ها، سطح حمله (Attack Surface) را گسترش داده و ریسک‌های امنیتی شدیدی ایجاد می‌کنند.
تحلیل موارد شناسایی شده
پژوهشگران چندین مسیر برای نفوذ و استخراج داده‌ها شناسایی کرده‌اند:
- تزریق پرامپت (Prompt Injection): در AWS AgentCore Harness، مهاجمان می‌توانند از طریق تزریق پرامپت، عامل را هدایت کنند تا اعتبارنامه‌های متنی (Plaintext Credentials) را که توسط AgentCore Identity مدیریت می‌شوند، استخراج کند.
- سوءاستفاده از ابزارهای داخلی: ابزار Shell داخلی که به‌صورت پیش‌فرض فعال است، با دسترسی root اجرا می‌شود. اگر مهاجم بتواند عامل را متقاعد به اجرای یک دستور کند، آن دستور با دسترسی root اجرا شده و کنترل محیط را به دست می‌گیرد.
- نشت اعتبارنامه‌های STS: شرکت Zenity Labs توانست عواملی را مجبور کند تا مجموعه‌ای کامل از اعتبارنامه‌های موقت STS (شامل Access Key ID و Secret Access Key) را ارائه دهند. این اعتبارنامه‌ها محدود به Sandbox نبودند و اجازه دسترسی به ECR و استخراج کد منبع (Source Code) سایر عوامل در آن منطقه (Region) را می‌دادند.
جابه‌جایی عرضی و محدوده تخریب (Blast Radius)
یکی از نگران‌کننده‌ترین یافته‌ها، امکان جابه‌جایی عرضی (Lateral Movement) است. به دلیل پیکربندی‌های پیش‌فرض با دسترسی‌های بیش از حد (Overprivileged Roles)، یک عامل سازش‌یافته می‌توانست به تمام گفتگوهای خصوصی کاربران، کلیدهای API و سایر سرویس‌های AWS در آن منطقه دسترسی پیدا کند. این یعنی یک نفوذ کوچک می‌تواند به تسلط کامل بر محیط ابری سازمان منجر شود.
مسموم‌سازی حافظه (Memory Poisoning)
کارشناسان هشدار می‌دهند که خطر مسموم‌سازی حافظه (Memory Poisoning) بسیار جدی‌تر از سرقت کلیدها است. در حالی که یک کلید سرقتی را می‌توان تغییر داد (Rotate)، اما حافظه مسموم شده در AI باعث می‌شود عامل به‌طور مداوم و در بلندمدت، رفتارهای مخرب از خود نشان دهد یا گفتگوها را به سمت اهداف مهاجم هدایت کند.
توصیه‌های امنیتی برای مدیران SOC و CISOها
با توجه به اینکه در مدل مسئولیت مشترک (Shared Responsibility Model)، مدیریت دسترسی‌ها بر عهده مشتری است، اقدامات زیر توصیه می‌شود:
- پیاده‌سازی اصل حداقل دسترسی (Least Privilege): نقش‌های پیش‌فرض AWS را حذف کرده و دسترسی‌های هر عامل را دقیقاً به اندازه نیاز محدود کنید.
- کنترل ابزارهای پرخطر: ابزارهای Shell و HTTP را به عنوان ابزارهای پرخطر شناسایی کرده و دسترسی خروجی (Egress) آن‌ها را محدود کنید.
- جداسازی داده‌های حساس: از قرار دادن اسرار (Secrets) در تصاویر (Images) خودداری کنید و هویت هر عامل را به‌طور مجزا مانیتور کنید تا هرگونه رفتار غیرعادی (Anomaly) سریعاً شناسایی شود.
به‌روزرسانی (اکتبر 9, 2026 — Dark Reading)
به‌روزرسانی: محققان Zenity Labs آسیب‌پذیری جدیدی را تحت عنوان AgentCorruption در پلتفرم AWS Bedrock AgentCore شناسایی کرده‌اند. این نقص امنیتی به دلیل نبود ایزولاسیون شبکه (Network Isolation) مناسب در Firecracker MicroVMها رخ داده است که به عوامل هوشمند (AI Agents) اجازه می‌داد به سرویس‌های متا‌دیتای نمونه یا IMDS دسترسی پیدا کنند.
در این سناریو، یک عامل تهدید می‌توانست تنها با ارسال یک Prompt به یک چت‌بات عمومی، اعتبارنامه‌های موقت (Temporary Credentials) را از IMDS استخراج کرده و سپس از طریق دسترسی‌های گسترده پیش‌فرض در نقش‌های (Roles) AgentCore، به‌صورت عرضی (Lateral Movement) در کل منطقه (Region) مورد نظر جابه‌جا شود. این دسترسی حتی امکان خواندن جلسات (Sessions) و استخراج اسرار از AWS Secrets Manager را فراهم می‌کرد.
شرکت AWS در پاسخ به این گزارش، اقدامات اصلاحی زیر را اعمال کرده است:
- اجبار به استفاده از IMDSv2 برای تمامی عوامل جدید که نیازمند احراز هویت است.
- اصلاح نقش‌های پیش‌فرض AgentCore و حذف مجوزهای غیرضروری برای فراخوانی سایر عوامل یا دسترسی به اسرار ذخیره‌شده.
