La memoria condivisa degli agenti AWS diventa il problema
In AWS AgentCore Harness, AWS ha dovuto gestire più volte nel 2026 un problema che va oltre il singolo bug: l’agente può essere indotto a rivelare credenziali perché identità, memoria e strumenti incorporati condividono lo stesso spazio di fiducia. Per chi deploya agenti autonomi, il confine da difendere non è solo il prompt, ma il perimetro di accesso che l’agente eredita per design.
Il 18 settembre, Unit 42 ha segnalato che le configurazioni di default potevano permettere a un attaccante di guidare le azioni dell’agente con prompt injection e far uscire credenziali in plaintext gestite da AgentCore Identity. Il problema è strutturale: il built-in shell tool gira come root e accede alla stessa memoria in cui le credenziali vengono risolte, quindi un comando fatto eseguire all’agente eredita quel livello di accesso.
Ad aprile, Unit 42 aveva già indicato un altro percorso verso l’esfiltrazione di credenziali in AgentCore Runtime. Il quadro che ne emerge è che correggere un singolo percorso non basta quando il modello di fiducia resta lo stesso: per questi ambienti, il limite reale è l’insieme di identità, memoria e strumenti che l’agente può già usare.
'AgentCorruption' Puts AWS Environments At Risk With Single Prompt
A now-patched vulnerablity in AWS Bedrock AgentCore could allow attackers to use one AI chatbot to take over an organization's entire fleet of AI agents.