Zenity：提示接管 AWS 同账号全部智能体
云安全公司 Zenity Labs 在 SecTor 2026（多伦多）披露 AgentCorruption：研究人员只给一个对外可达的 AgentCore 智能体发了一句提示，让它去读云主机的元数据服务（IMDS），就拿到该机器绑定的临时凭证。问题在凭证归属：它属于一个 AWS 默认 IAM 角色，权限不限于最初那个智能体，而覆盖同一账户与同一区域内所有 AgentCore 智能体。于是「拿到一个」变成「拿到一片」——可读其它智能体的私密对话、源码与长期记忆，取走 Secrets Manager 里的密钥，还能植入恶意记忆，让智能体把之后的对话发往攻击者指定的地址。
AWS 的回应是：这是「可预期、已文档化的行为」，不是漏洞——一个智能体要访问另一个账户的资源，前提是开发者在执行角色与目标资源两侧都显式授权，并建议按最小权限收窄执行角色。修复时间线双方各有叙述但有交集：Zenity 称 2025-12-25 报告了 IMDS 通路、2026-01-12 报告了过宽的默认角色，AWS 在 4 月把首份报告按「信息性」结案；2026-02-14 起新部署的智能体只用 IMDSv2；默认角色在 6 月至 9 月之间被收窄，Zenity 于 10-08 确认这条路径已关闭。
原文链接：Zenity Labs 官方新闻稿
核验记录
官方新闻稿 zenity.io/press-release/zenity-labs-discloses-agentcorruption-a-chain-of-aws-agentcore-flaws 本机直读 200（931,221 字节），页内「Oct 08, 2026」与结构化字段 publishedAt 2026-10-08 一致。AWS 声明逐字取自 TNW 在更正后补入的版本（原文称研究「把已文档化的预期行为说成漏洞」，并说明跨账户授权的前提）；TNW 同时更正了自身标题口径——研究覆盖范围是「同一 AWS 账户与同一区域」，不是整个区域。修复时间线（12-25 / 01-12 报告、4 月按信息性结案、02-14 IMDSv2、6–9 月收窄角色）据 TNW 与 Zenity 的对应叙述，未直读 AWS 工单。上一轮曾判「官方页本机定位不到」，本轮找到直读通路后改收。