一句 Prompt 干翻 AWS 整个舰队

云上的补丁每周都在发布，大多数安静得像没发生过。但这一次不同——被修复的那个漏洞，名字里就带着不祥的隐喻：AgentCorruption，代理腐化。

这是 AWS Bedrock AgentCore 平台上的一个漏洞，攻击者理论上只需要一条 Prompt，就能让一个 AI 代理失控，进而波及一个组织部署在平台上的整个 Agent 机队。漏洞现已修复，但它留下的疑问比补丁本身更重：当企业把客服、研发、数据分析都交给 Agent，安全边界到底划在哪里？

核心判断一句话（本文观点）：Agent 时代的最大风险，不再是数据从门缝里漏出去，而是合法的员工本身被换了个脑子。

“📌 信源与事实核查：先分清哪些是事实，哪些是判断

>

“以下为依据公开披露信息整理的事实：

>

“- 漏洞与对象：AgentCorruption，影响 AWS Bedrock AgentCore（AWS 面向企业级 Agent 的托管运行平台，2025 年 7 月预览、年底正式商用）。

“- 披露方：由专注 Agentic AI 安全的第三方安全研究团队发现，通过 AWS 官方漏洞披露渠道进行负责任披露。

“- 时间线：研究团队提交报告 → AWS 确认并修复 → 公开披露时，补丁已在全区域生效，客户无需采取任何操作。

“- 编号：作为托管平台侧漏洞，AWS 按其惯例未对外分配公开 CVE 编号，以官方通告形式完成披露；如后续补发编号，以 AWS 安全公告页为准。

“- 复现条件（据披露的技术描述整理）：攻击者通过面向目标 Agent 的外部输入通道（如文档、工单、网页内容等第三方内容源）注入一条特制 Prompt，诱导受害 Agent 越权调用平台内跨 Agent 共享的组件，从单个 Agent 扩散至整个机队。研究团队已在隔离环境中完成复现；未发现该漏洞在真实客户环境中被利用的证据。

“- AWS 官方回应：确认漏洞属实并已在披露前完成修复；声明未观察到客户数据受影响或在野利用迹象；并对研究团队的负责任披露致谢。

>

“以下为本文的分析与推演，均随文标注，不代表 AWS 或披露方的立场。

🔥 一条 Prompt 的杀伤半径

先还原一下场景（以下为基于披露描述的典型场景推演）。

一家中型企业今年把智能客服、内部知识问答和代码辅助三套 Agent 部署在 Bedrock AgentCore 上——这是 AWS 面向企业级 Agent 运行的托管平台，承诺的是隔离、托管、可扩展。企业看到的是“不用自己管基础设施”，攻击者看到的是另一个东西：所有 Agent 都长在同一个操作系统上。

AgentCorruption 的可怕之处在于利用成本的结构性坍塌。传统上要拿下一家企业的云环境，攻击者需要暴露面扫描、漏洞利用、凭据窃取、横向移动，一整套链路走下来短则数天长则数月。而按照这次披露的描述，入口被压缩到了一句自然语言——不用 0day，不用钓鱼邮件，不用任何恶意二进制文件。

一个 Prompt 进去，一个 Agent 被劫持，然后以它为跳板波及整个机队。这就是为什么研究者给它起名叫“腐化”而不是“注入”——腐化意味着从内向外扩散，意味着攻击发生在信任链的内部。

安全行业的第一定律：攻击面在哪里收敛，风险就在哪里收敛。 企业 Agent 全部托管上云，运维成本收敛了，风险也同样收敛到了那一个点上。便利与脆弱，从来是同一枚硬币。

🧩 Agent 为什么是完美跳板

要理解这类漏洞为什么致命，得先想清楚 Agent 和传统应用的区别（本节及下文攻击链为作者基于公开披露信息的合理推演，非披露方给出的复现细节）。

一个运行在 AgentCore 类平台上的企业 Agent，通常同时拥有四样东西：身份（平台颁发的凭证）、权限（能调用哪些工具和 API）、记忆（上下文和历史会话）、社交关系（和其他 Agent、其他用户的交互通道）。这四样东西拼在一起，就是一个如假包换的内部员工。

从披露的漏洞描述出发做合理推演，这类“单点沦陷、全网接管”的攻击链大致是这样的：

!AgentCorruption 攻击链示意

注意其中的关键转折：C 到 D 的跨越。单次 Prompt 注入并不新鲜，安全社区讨论了两年，危害通常被框定为“一次会话内被诱导输出错误内容”。而 AgentCorruption 类漏洞的本质区别是——注入的后果穿透了会话边界，从语义层打进了执行层。

这背后是 Agent 架构的天然矛盾：为了让 Agent 干活，你必须给它权限；为了让它协作，你必须让 Agent 之间互通；为了规模化，你必须把它们放在共享的运行环境里。三个“必须”叠在一起，每一个被劫持的 Agent 都可能是整个机队的 entry point。

你给了 Agent 多大的能力，就等于给了攻击者多大的能力——只是中间隔了一层你自己都不完全理解的推理过程。

📊 两种漏洞逻辑的根本分野

把传统云漏洞和 Agent 漏洞放在一起看，差异是结构性的，不是程度上的。

最值得警惕的是“身份伪装”这一行。传统攻防里，攻击者要花大力气把非法流量伪装成合法流量；而在 Agent 场景里，攻击指令天然就是合法的——因为执行它的本来就是持有正规凭证的代理进程。零信任体系里最难处理的一类威胁，恰恰就是合法身份被滥用。

放在产业坐标上看，应对不同威胁的安全能力，成熟度和价值分布极不均匀（以下象限图为作者对市场格局的主观判断）：

右上象限的东西——Agent 身份治理、运行时强隔离、机队级监控——恰恰是当前绝大多数企业的安全预算里还没有单独列支的科目。这就是 AgentCorruption 这类事件真正的产业含义：它把一个还没建好的需求，提前砸到了所有人的采购清单上。

🛠️ 企业现在能做什么

说了这么多风险，落回实操。需要明确的前提是：这个漏洞本身已被 AWS 修复——AWS 官方回应确认，补丁已在披露前于全区域生效，客户无需任何操作。但修复的是这一个洞，不是这一类风险。平台侧的责任尽到了，企业侧的功课才刚开始。

安全圈里有句流传很广的玩笑话：“以前怕一台服务器被打穿，现在怕一句 Prompt 说错话。”听着像段子，拆开来全是防御要点（以下清单为作者基于披露信息的防御建议）：

其中第三条值得单独强调。很多企业今天的 AI 安全投入集中在“输入过滤”——拦拦截截恶意 Prompt。但从 AgentCorruption 这类漏洞看，输入过滤只是第一道闸，真正决定损失上限的是权限边界和隔离架构。一个只有只读权限、只能访问本域数据的 Agent，就算被完全劫持，损失也有限；一个手握全部工具调用权限的 Agent，一个标点符号的偏差都可能变成机队级事故。

另外一条容易被忽视：给 Agent 建立独立的身份体系，而不是复用人类员工的 IAM 模型。Agent 的行为模式、调用频率、访问时段和人类完全不同，直接套用现有身份体系，等于让监控天然失焦。

🏭 按钮按下之后，产业往哪走

跳出单次事件，看三层产业逻辑（以下三层为作者观点，非披露方或 AWS 的表态）。

第一层，云厂商的责任边界正在被重新谈判。 传统云计算的“责任共担模型”里，云管基础设施安全，客户管自己代码和数据。但 Agent 平台上，客户的“代码”很大程度上就是自然语言编写的指令，客户的“应用”就是平台托管的 Agent。当一句 Prompt 能造成机队级沦陷，“这算平台的锅还是客户的锅”，会成为一个反复被拿出来辩论的问题。AgentCorruption 以平台侧漏洞的形式出现并由 AWS 在披露前完成修复，某种意义上是一次良性的责任确认：运行时隔离是平台义务，不是客户作业。

第二层，安全预算会跟着杀伤半径走。 杀伤半径从单机会话扩大到整个机队，客户愿意为防护支付的价格就不再是原来那个数量级。可以预期的是，Agent 身份治理、机队级隔离、语义审计这几个方向，会在未来一两年从“概念”变成招标文件里的硬性条款——就像零信任当年走过的路一样，起点的推动力往往就是几次真实的高危披露。

第三层，也是最容易被误读的一层：这不是 AI Agent 的挫折，而是它的成人礼。 AgentCore 出现这类漏洞，恰恰说明企业级 Agent 平台已经走到了被安全研究者认真对待的位置——没有人会花精力研究一个没人用的系统。历史上每一次重要平台的重大漏洞披露，伴随的都是该平台安全体系的加速成熟。

真正的分水岭在于接下来的十二个月：各家的 Agent 平台是在一次披露之后只修一个洞，还是彻底重构隔离与身份架构。前者是打补丁，后者才是建体系。

小结

AgentCorruption 的技术细节会随补丁下沉而淡出，但它确立了一个新范式（以下为本文结论性观点）：AI Agent 的安全评估，核心指标不是“会不会说错话”，而是“被劫持之后的爆炸半径有多大”。

落到行动上——

• 对企业：三件事最务实——收紧 Agent 权限、对机队做分域隔离、建立语义级审计；同时把 Agent 运行平台纳入补丁管理流程，盯紧厂商公告。
• 对厂商：运行时隔离能力将从卖点变成门票。谁能在架构层面证明“单点沦陷不等于机队沦陷”，谁就能拿到下一轮企业客户的信任票。

Agent 上生产环境的速度越快，这场安全体系的补课就越不能等。下一句 Prompt 落下来之前，边界最好已经划好。

注：本文事实部分依据研究团队与 AWS 的公开披露