كشف باحثون من Zenity Labs مؤخرًا عن ثغرة أمنية حرجة في Amazon Bedrock AgentCore، وهي خدمة وكلاء الذكاء الاصطناعي من AWS. سمحت هذه الثغرة للمهاجمين باستخراج بيانات الاعتماد المؤقتة والاستيلاء على وكلاء الذكاء الاصطناعي الآخرين في حساب AWS ومنطقة محددة. كان من الممكن تنفيذ الهجوم باستخدام موجه بسيط يطلب نقاط نهاية بيانات التعريف.
باستخدام سيناريو افتراضي، تمكن باحث يدعى «بوب» من استغلال وكيل ذكاء اصطناعي مستضاف على AgentCore. طلب بوب من الوكيل فهم محتوى نقطة نهاية لبيانات الاعتماد بتنسيق JSON، والتي أعادت بيانات من Instance Metadata Service (IMDS). تضمنت هذه البيانات تفاصيل حساسة مثل بيانات الاعتماد المؤقتة للوكيل.
كيف حدث الاختراق؟
يكمن أصل المشكلة في نقطتين رئيسيتين: أولاً، فشل Firecracker MicroVM الذي يستخدمه AgentCore في توفير عزل كافٍ للشبكة. سمح هذا للمهاجم بتوجيه الوكيل لتنفيذ هجوم Server-Side Request Forgery (SSRF) لجلب بيانات اعتماد AWS المؤقتة لدور IAM المعين لحمل العمل.
ثانيًا، كانت صلاحيات دور AgentCore الافتراضي واسعة جدًا؛ حيث كانت تشمل جميع موارد AgentCore في المنطقة بدلاً من وكيل واحد فقط. هذا يعني أن أي شخص يحصل على بيانات اعتماد IAM المؤقتة يمكنه تشغيل وكلاء آخرين، وقراءة الجلسات، وكتابة ذكريات الوكيل، وجلب الأسرار من AWS Secrets Manager.
سمحت بيانات الاعتماد المسروقة لبوب بحصر وكلاء الشركة الآخرين في منطقة AWS تلك، وتسجيل الدخول إلى Amazon Elastic Container Registry (ECR)، وسحب صور حاويات الوكيل، وتشغيل كل منها كجذر لفحص الشيفرة المصدرية. كما تمكن من استخراج المستخدمين وجلسات وكلائهم، أي محادثاتهم.
استجابة AWS وتداعياتها للمطورين
كشفت Zenity Labs عن نتائجها لـ AWS في ديسمبر 2025 بخصوص مشكلة IMDS، وفي يناير 2026 بخصوص الصلاحيات المفرطة. ردت AWS في 12 أبريل 2026 بأنها قامت بتحديث AgentCore لاستخدام IMDSv2 حصريًا اعتبارًا من 14 فبراير 2026. ومع ذلك، ظلت الصلاحيات المفرطة قائمة حتى 22 يونيو 2026 على الأقل، ولم تُحل المشكلات بالكامل إلا بحلول 29 سبتمبر 2026.
من جانبها، علقت أمازون بعد نشر التقرير بأن بحث Zenity يسيء تمثيل السلوك الموثق باعتباره ثغرة أمنية، مشيرة إلى أن خطأ المطور سيكون مطلوبًا لتمكين الهجوم. ما زلنا ننتظر توضيحًا لهذا الادعاء.
بالنسبة للمطورين، تؤكد هذه الحادثة على أهمية استخدام IMDSv2 لتعزيز الأمان والتأكد دائمًا من تطبيق مبدأ «أقل الامتيازات» (least privilege) عند تعيين أدوار IAM لوكلاء الذكاء الاصطناعي أو أي موارد أخرى. يجب أن تكون الصلاحيات محددة بدقة قدر الإمكان لتجنب استغلالها. برأينا، تظل مراقبة الأذونات وعزل الشبكة أمرًا حيويًا عند التعامل مع خدمات الوكلاء الذكية في البيئات السحابية.
المصدر: theregister.com