一句提示词，掀翻整个Agent舰队

一个漏洞被修补了，但它揭开的窟窿才刚刚开始被看清。

AWS 的 Bedrock AgentCore 近期被安全研究者披露了一个已修补的漏洞，代号 AgentCorruption：攻击者只需一条恶意提示词，就能劫持一个 AI Agent，进而接管整个组织的 Agent 舰队。单点突破，全线失守——这在云安全里曾是勒索软件的剧本，如今被压缩进了一句 prompt 里。

“📌 披露信源速览

>

“- 研究者披露：安全研究团队通过公开技术报告首次披露 AgentCorruption，包含攻击链推演与影响范围说明；报告发布于披露当周（具体日期与研究者署名见文末参考信源[1]，编辑注：原文素材未附原始链接，发布前需补齐核验）。

“- 厂商响应：AWS 通过安全公告确认漏洞并完成修补，同步更新了 Bedrock AgentCore 文档中的权限配置最佳实践[2]。

“- CVE 编号状态：截至本文写作时，该漏洞的 CVE 编号尚未在公开漏洞库中归档；编号与 CVSS 评分以 AWS Security Bulletin 的正式归档为准[2]。（编辑注：此条为事实核查项，刊发前须以厂商公告编号替换。）

“- 先例：这并非「一句话打穿 Agent」的孤例。2025 年 5 月，Invariant Labs 披露了 GitHub MCP Server 的「毒性代理流」问题[3]；2025 年 6 月，Aim Labs 披露了 Microsoft 365 Copilot 的零点击提示词注入漏洞 EchoLeak（CVE-2025-32711）[4]。AgentCorruption 的特殊性在于：它把这类攻击从「泄露数据」推进到了「接管整支 Agent 舰队」。

这篇文章想说的不是恐慌，而是一个被多数企业忽略的结构性事实：当你把 Agent 批量部署上云，你部署的不是一个工具，而是一整支持有你云上权限的、可被诱导的执行体。

🤖 一句话的杀伤半径

先把自己放进攻击者的椅子。

你不需要零日，不需要凭据泄露，甚至不需要接触服务器。你只需要在某个业务入口——工单、客服对话、文档摘要——塞进一段精心构造的自然语言。Agent 读到了它，把攻击指令当成了任务上下文，然后用自己的合法权限，去执行一件它的开发者从未想过的事：横向移动，接管舰队。

这就是 AgentCorruption 的可怕之处。据披露报告[1]与 AWS 安全公告[2]，该漏洞存在于 Bedrock AgentCore 中，可让攻击者用单个 AI 聊天体接管组织内整个 Agent 集群。好消息是，它已被修补；坏消息是，这类风险不是打一个补丁就能终结的品类问题，而是 Agent 架构的原生问题——EchoLeak 和 GitHub MCP 事件的公开细节[3][4]已经证明，提示词注入触达敏感操作，在主流 Agent 平台上是可以稳定复现的攻击路径。

攻击链路值得每个安全团队画在自己的白板上：

注意第三步到第五步——从「一个 Agent 被骗」到「全部 Agent 失守」，中间没有任何需要新漏洞的环节。因为绝大多数企业的 Agent 舰队，是用同一套模板、同一套权限、同一套信任链克隆出来的。模板化部署带来的运维效率，在攻击者眼里就是免费的水平移动通道。

这就是为什么这个漏洞值得所有正在上 Agent 的企业认真复盘，而不仅仅是 AWS 客户的事。

⚠️ Agent把云安全模型搅乱了

金句先行：Agent 是一朵会自己点火的云。

传统云安全模型建立在一个隐含假设上：工作负载的行为是代码决定的，是可以枚举、可以基线化的。一台 EC2 什么时候调 S3、调哪个 IAM 角色，写死了就在那里。WAF、EDR、CSPM 都围绕这个假设构建。

Agent 打碎了它。Agent 的行为由自然语言触发，输出不可完全预知，权限却在运行时动态聚合。这件事已经有行业级的定性与定量的背书：

• 定性：OWASP 在 2025 年版 LLM 应用十大风险中，将「过度代理」（Excessive Agency，LLM06）列为独立风险项——Agent 被赋予了超出完成任务所需的权限与能力，一旦被误导即放大为实害[5]。2025 年发布的 OWASP Agentic AI 威胁与缓解指南进一步把提示词注入和权限滥用列为 Agent 场景的首要威胁[6]。
• 定量：云 IAM 过度授权是公开报告反复证实的存量问题。Palo Alto Networks Unit 42 的云威胁报告显示，其在真实客户环境中的评估里，绝大多数云身份持有的权限远超实际使用量[7]；Wiz 的云 IAM 状态报告同样指出，环境中大量身份具备高度敏感权限却长期未被使用[8]。Agent 的工作方式——「为了让它干活，先把权限挂上」——恰恰是过度授权最严重的放大器。

结果就是下表的错位：

换句话说，你在用一个为「不会说谎的代码」设计的防御体系，去防守一个「会被语言说服的执行体」。AgentCorruption 只是把这种错位从理论推演变成了可复现的攻击面。

产业层面的判断是：Agent 的安全边界必须从「提示词层」下沉到「权限与身份层」。 提示词注入永远防不完，因为语言天生有歧义；但一个只拥有当前任务最小权限的 Agent，即使被骗了，能造成的破坏也被物理性地框住了。这也是为什么 IAM 这套老概念，正在被 AI 时代重新定价。

📊 安全方案的四象限

漏洞披露之后，厂商的 PPT 会一夜之间多出十几页。冷静一点，把市面上的 Agent 安全方案放进四象限看：

几个判断值得展开：

右上角的领跑者是 Agent 身份与密钥管理、运行时行为检测。前者把每个 Agent 当作独立身份主体，密钥不共享、权限按任务签发——这是对 AgentCorruption 类攻击釜底抽薪的解法；后者盯着 Agent 实际调用了什么 API，而不是它说了什么话，绕过了提示词检测永远绕不完的猫鼠游戏。需求侧的信号也来自权威预测机构：Gartner 预计到 2028 年，将有相当比例的 CIO 把「守护 Agent」（Guardian Agents）纳入采购计划，专门负责监督其他 Agent 的行为[9]。

提示词过滤网关落在跟随者象限，不是因为它没价值，而是因为它商业模式脆弱：规则可被绕过、误报率高，且云厂商大概率会把它做成原生功能免费送。单点防御的生意，历史上一向不好做。

云厂商原生护栏技术门槛不高（本质是控制面的开关和默认策略），但商业价值极高——它是默认选项。这预示着独立 Agent 安全厂商真正的生存空间，在云厂商「顺手的护栏」覆盖不到的深度：跨云、跨模型、跨身份体系的编排层安全。

💡 补丁之外，生意才刚开始

AgentCorruption 已修补，但企业要回答的问题没修补：你的 Agent 用了什么权限？谁来审计？舰队里有多少个实例在共享一条信任链？

按容器安全和身份安全的历史剧本，一个标志性漏洞之后，通常跟着一个品类的产品化周期：先出事件，再出清单，再出工具，最后出合规要求。Agent 安全大概率不会例外，而且节奏更快——因为企业上 Agent 的速度远快于当年上容器。

对防守方，优先级可以很朴素：

最后一条最容易被忽视，也最要命。「影子 AI」的盘点缺口在公开调研中反复出现：多家机构对企业的 AI 使用调查显示，部署了 AI 工具的组织中，有相当比例的应用未经 IT 与安全部门登记，安全团队对其权限与数据流向一无所知[10]。IBM 的《数据泄露成本报告》也长期提示，影子数据与缺乏可观测性的数据源会显著抬升泄露成本与处置周期[11]。攻击面都数不清，防御自然无从谈起。 在 Bedrock AgentCore 这样的平台上，Agent 是一键克隆的，inventory 却没有一键生成的功能，这个剪刀差就是当下最大的暴露面。

对产业观察者，值得注意的是竞合走向：云厂商会把「护栏」做进控制面，独立厂商会被迫向编排层和身份层撤退，而企业采购决策正在从「买一个提示词防火墙」转向「重建 Agent 的 IAM」。后者才是能长出下一个大品类的地方。

AgentCorruption 的技术细节会随补丁淡出视线，但它留下的问题会陪伴整个 Agent 时代：当机器开始听懂人话并用你的云权限行事，安全的重心就必须从「防漏洞」转向「管身份」。一句话掀翻一支舰队的故事，最好的结局不是被修补，而是被架构性地消灭——让每个 Agent 小到骗了也没用。下一步，看谁的 Agent 身份体系先成为事实标准。

参考信源

[1] 安全研究团队关于 AgentCorruption 的技术披露报告（发布日期与研究者署名待补，编辑注：刊发前须补齐原始链接）。

[2] AWS Security Bulletin：Bedrock AgentCore 漏洞确认与修补公告（CVE 编号与 CVSS 评分以公告归档为准，编辑注：待核）。

[3] Invariant Labs，"GitHub MCP Server Security Alert: Toxic Agent Flows"，2025 年 5 月。

[4] Aim Labs，"EchoLeak: Zero-Click Vulnerability in Microsoft 365 Copilot"，CVE-2025-32711，2025 年 6 月。

[5] OWASP，"Top 10 for LLM Applications" 2025 年版，LLM06: Excessive Agency。

[6] OWASP，"Agentic AI – Threats and Mitigations"，2025 年。

[7] Palo Alto Networks Unit 42，Cloud Threat Report（历年各期：云身份过度授权评估数据）。

[8] Wiz，"The State of Cloud IAM / Identity Threat"系列报告（云身份权限与实际使用量差距数据）。

[9] Gartner，关于 Agentic AI 与 Guardian Agents 的预测（具体报告期号待核，编辑注）。

[10] 企业 AI 使用与「影子 AI」盘点缺口调研（如 AI 治理平台厂商与安全联盟的年度调查，引用前需核对具体样本与口径，编辑注）。

[11] IBM，"Cost of a Data Breach Report"（历年各期：影子数据与可观测性缺失对泄露成本的影响）。

编辑备注：本次修订已补充披露信源框架与可公开引用的行业数据（OWASP、Unit 42、Wiz、Gartner、IBM 等均为可查证来源）；[1][2][9][10] 处为待核事实项，标注「编辑注」的位置需在刊发前以原始公告编号、日期与链接替换，切勿以推测值出刊。原有分析框架（攻击链路、对比表、四象限、解法图）保持不变。