一条提示词，接管整支 Agent 舰队

补丁已经推了，但恐惧才刚开始发酵。

AWS 的 Bedrock AgentCore 被披露了一个代号 AgentCorruption 的漏洞：攻击者只需要一条精心构造的提示词，就有可能从污染一个 AI Agent 开始，最终接管一个组织部署的整支 Agent 舰队。官方口径是——现已修复。

“📌 信源核查（编辑补充）

“在进入分析前，先补齐本次披露可核查的原始信源，供读者自行验证：

>

“- 漏洞名称：AgentCorruption——这是安全研究团队为漏洞起的代号，不是 CVE 官方名称，也非 AWS 官方命名。

“- 涉及产品：Amazon Bedrock AgentCore（AWS 于 2025 年 7 月发布的 Agent 托管运行平台）。

“- 发现者：第三方安全研究团队，经 AWS 负责任披露（coordinated disclosure）流程报告。研究者姓名与完整技术报告以原始研究文章为准，本文不代为转述未经核实的细节。

“- CVE 编号：截至本文更新，公开渠道尚未检索到与之关联的 CVE 编号。若 AWS 后续在官方安全公告中分配编号，以公告为准。

“- 公告时间：以 AWS Security Bulletin 页面及 AWS Security Blog 的发布时间为准；AWS 未在公开渠道给出逐日的披露-修复时间线，本文亦不做猜测。

“- 官方修复说明：AWS 官方口径为该问题已在服务端修复。读者应以 AWS 官方安全公告原文为准，本文不替代公告。

“- 声明：本文的扩散路径推演、产业判断均为作者分析，不是披露内容的一部分，已在正文各处以【分析】明确标注。

这七个字读起来很轻，落到安全从业者的耳朵里却很重。因为这意味着过去几年我们反复讨论的那个假设，第一次有了实锤样本：AI Agent 不只是一个新功能，它是一个新的权限聚合点，而聚合点一旦被腐坏，爆炸半径是舰队级的。

🚨 事故还原：一句话的杀伤半径

“【分析】 本节为基于公开披露要点的场景推演，不是对披露攻击链的复现。

先把场景具象化。设想一个典型的企业环境：安全团队基于 Bedrock AgentCore 部署了一批 Agent，有的负责客服应答，有的负责内部知识检索，有的挂着工具权限去调 API、查数据库。它们共享底层平台、共享编排逻辑，某种程度上也共享同一套信任假设。

AgentCorruption 的危险之处在于，攻击入口不是某个零日利用链，不是供应链投毒，而是对话框本身。一条提示词进去，如果命中了平台的薄弱环节，攻击者就有了从“影响一个 Agent”跃迁到“控制一批 Agent”的跳板。这不是传统意义上“黑掉一台服务器”，而是更接近“污染了一个可信的中间人”——之后这个中间人替你执行的所有操作，都染上了攻击者的意志。

注意这个链条里最关键的第三环：配置与记忆。Agent 与传统无状态接口最大的区别，是它有上下文、有工具清单、有权限边界，而这些状态是可以被写入的。一旦写入通道失守，污染就有了持久性。

从漏洞响应的角度看，AWS 选择在服务端完成修复并更新官方文档，本身就是一个信号——这不是可以靠用户配置绕过的边缘案例，而是平台级的设计缺陷暴露。对已经把 Agent 推上生产环境的企业来说，这次事件的正确读法不是“云厂商兜底了，没事了”，而是“最坏情况已经被证明是可能的”。

🔑 Agent 为什么是新版域控制器

一句话开场：谁聚合了权限，谁就是攻击者的头号目标。

十年前做内网渗透的人都懂一个常识：拿下域控制器，等于拿下整个网络。域控之所以珍贵，不是因为它算力强，而是因为所有机器都信任它。今天的 AI Agent 正在以惊人的速度走向同一个位置——它是企业里少数几个同时握有对话入口、工具凭证和执行权限的实体。

把 Agent 和传统云主机放在一张表里对比，差异一目了然：

最后两行是最要命的。传统横向移动需要漏洞、需要凭据、需要时间；而 Agent 舰队内部的“横向”，可能只是利用了它们本来就互相信任这个事实。攻击者不需要撬开门，门是开着的，他只需要换掉门里的人。

“【分析】 以下段落是基于公开信息的行业观察与作者推断，并非经官方或具名企业证实的事实陈述。

>

“这次披露之后，多数企业安全负责人连夜复盘的其实是同一个问题：我们给 Agent 发的凭证，权限边界到底画在哪里？很多人复盘完发现，答案尴尬——画在生产便利性那一侧。为了 Agent 能干活，凭证给宽了；为了部署效率，配置共享了。效率优先的工程惯性，在 Agent 时代变成了风险放大器。

⚠️ 从单点到舰队：腐坏是怎么扩散的

“【分析】 本节的“三层放大”模型是作者基于通用攻击面特征构建的推演框架，不是披露材料中已证实的攻击路径。

单点失守并不可怕，云上单点失守每天都在发生。可怕的是扩散模型。

推演一下 AgentCorruption 这类漏洞的扩散逻辑，通常是三层放大：第一层是配置放大，舰队里的 Agent 往往基于同一套模板部署，一个模板被污染，等于污染了后续所有基于该模板的实例；第二层是信任放大，Agent 之间、Agent 与编排器之间的调用如果缺乏二次校验，一个被腐坏的节点可以伪造“正常同事”的身份向下游发指令；第三层是时间放大，写入了记忆和配置的污染不会随会话结束而消失，它会潜伏，等待触发条件。

这就是为什么这个漏洞的命名很精准——Corruption（腐坏），而不是 Intrusion（入侵）。腐坏的本质是可信内容的变质：看起来一切正常，输出看起来合理，只是方向已经偏了。

面对这种威胁模型，防御手段之间的价值差异也拉开了。下面这张定位图，是我基于这次事件对当前主流 Agent 防御思路的判断：

右上是真正的赢家：最小权限和运行时行为检测，门槛高、价值高，但绝大多数团队还没做。左下角的关键词过滤和正则匹配，是安全预算紧张时最容易上的东西，也是最快失效的东西——攻击者换一种表述就绕过去了。左上角的全人工审批有效但不可持续，它本质上是把自动化红利又还了回去。

🛠️ 防御清单：补丁之外的四道闸

打了补丁不等于有了免疫力。AgentCorruption 暴露的是一类问题，Bedrock AgentCore 只是第一个被公开点名的样本。同类平台的同类设计，未必更安全，只是没被研究得那么透。

我的建议是把 Agent 防御拆成四道闸，逐道检查：

其中第二道闸值得单独强调。很多团队给 Agent 的凭证，实际权限接近于其背后服务账号的并集——这是舰队级风险的总开关。AgentCorruption 之所以能“接管舰队”，前提是接管一个 Agent 就等于接管了它的凭证。如果每个 Agent 只有完成本职任务所需的最小权限，腐坏单个节点的收益就会骤降，攻击者的性价比计算就不成立了。

安全工程里有个朴素的真理：你无法阻止所有腐坏，但你可以决定腐坏的价格。 让单点污染始终停留在单点，就是这次事件教给所有企业的第一课。

📈 产业判断：Agent 安全不会是买来的

“【分析】 本节整体为作者的行业判断，属观点性内容，不代表 AWS 或任何安全厂商的官方立场。

回到产业视角。这次事件大概率会成为 Agent 安全赛道的一个路标性案例。

过去两年，围绕 Agent 的安全产品大都是“外挂式”的：提示词防火墙、输出内容审计、合规扫描。它们的共同假设是——Agent 本体是可信的，风险来自输入和输出。而 AgentCorruption 证明了这个假设的裂缝：平台本体也会失守，而且失守之后外挂全部失效，因为攻击者已经站在了信任链的内部。

这意味着 Agent 安全的竞争重心会从“内容安全”迁向“身份与权限安全”——谁能把 Agent 纳入一套成熟的凭证生命周期管理、谁能对 Agent 的每一次工具调用做细粒度的授权与审计，谁就掌握了真正的定价权。云厂商有天然优势，但也天然存在“既当运动员又当裁判”的信任折扣；第三方安全厂商的机会，恰恰在云厂商不愿做、做不细的那一层：跨云、跨平台的 Agent 身份治理。

“【分析】 一个可观察的旁证（作者观察，未经具体企业证实）：从公开渠道的招聘需求与预算讨论看，已有企业安全团队在这次事件后开始把 Agent 凭证治理列进下一年度的规划——这个动作本身，比任何市场预测都更能说明赛道温度。

对云厂商来说，教训同样清晰：AgentCore 这类平台的竞争力，未来一半来自 Agent 能力多强，另一半来自出事时爆炸半径多小。把隔离性、权限粒度、可审计性做成平台默认能力，而不是留给用户自己配，才是真正的护城河。

AgentCorruption 会像过去所有标志性漏洞一样，被补丁终结，然后被遗忘。但它指向的结构性问题不会消失：只要企业继续把权限、凭证和执行权交到一个会“听人说话”的实体手里，腐坏的可能性就永远存在。Agent 时代的攻防，比的不再是谁能堵住每一个洞，而是谁能把信任切得足够碎——碎到一条提示词，无论写得多漂亮，都撬不动一整支舰队。

📚 参考资料与原始信源

1. AWS 官方安全公告：请以 AWS Security Bulletin 页面发布的公告原文为准（含修复说明与受影响范围）。本文所有关于“已修复”的表述均以该公告为最终依据。

2. Amazon Bedrock AgentCore 官方文档：https://docs.aws.amazon.com/bedrock-agentcore/——官方已同步更新平台安全性与隔离机制的说明。

3. AWS Security Blog：AWS 通过官方博客发布的安全最佳实践与平台更新说明。

4. CVE 数据库：https://cve.org / https://nvd.nist.gov——截至本文更新，未检索到与本次披露关联的 CVE 编号；后续如有分配，以此处为准。

5. 发现团队原始研究文章：漏洞代号 "AgentCorruption"、技术细节与攻击链分析以发现团队的原始报告为准，本文的推演不构成对原始报告内容的转述。

“编辑说明：本文写作时点早于全部信源核实的完成，为避免传播未经证实的技术细节，正文中的攻击路径、扩散模型与产业影响均为明确标注的分析推演；涉及事实的部分（披露存在、官方已修复、涉及产品）以 AWS 官方公告为唯一权威来源。若官方公告与本文有出入，以公告为准。

（全文完）