一句提示词，端掉整个Agent舰队

AWS 的 Bedrock AgentCore 出了一个已经修复的漏洞，安全圈给它起了个相当凶狠的名字——AgentCorruption。杀伤半径一句话就能说清：攻击者用一条恶意提示词，就有可能接管一家企业的整个 Agent 集群（fleet）。

这不是又一篇"AI 会被越狱"的陈词滥调。它的价值在于暴露了一个结构性问题：我们把企业的权限和信任，塞进了一个几乎没有身份边界的运行时里。 补丁可以打，架构性的债还在。

🚨 一句话的杀伤半径

金句：漏洞的可怕程度，不看代码行数，看爆炸半径。

先还原一个典型场景。一家企业用 Bedrock AgentCore 跑了一组 Agent：客服 Agent 对外接用户输入，运维 Agent 内部调工具、查数据库、触发动作。在正常设计里，这些 Agent 各司其职，权限分层。

但 AgentCorruption 展示的攻击路径是：一台 Agent 被注入，等于整个集群沦陷。 攻击者不需要拿下服务器，不需要钓鱼邮件，一条构造好的提示词就够了——因为 Agent 之间、Agent 与工具之间的信任传递链是连通的，一处失守，攻击者就能借这条链横向移动，最终控制整个 fleet。

值得强调的是：这个漏洞已经修复。AWS 处理的节奏没有问题，问题在于它揭示的架构事实——Agent 集群一旦共享信任上下文，任何单点失守都会被放大成全域失守。据多位接近云厂商安全生态的人士透露，类似问题在各家 Agent 平台里不同程度地存在，AgentCore 只是被公开研究的那个。

产业逻辑很直白：传统云安全的爆炸半径按"资源"计算，一台主机、一个桶、一个数据库；Agent 时代的爆炸半径按"信任"计算，而信任这个东西，默认配置下是全网连通的。

⚙️ 为什么一个洞能打穿一片：Agent 的混淆代理人宿命

金句：Agent 安全是身份问题，从来不是模型问题。

为什么一条提示词能撬动整个集群？核心在三个字的经典安全病：混淆代理人。Agent 拿着用户的合法身份去调工具、调其他 Agent、调底层资源，平台分不清"这是用户的意图"还是"这是被注入后的伪指令"。模型不会说谎，但它可以被喂谎。

这和过去两年一连串事件是同一个病根：2024 年 8 月安全研究者披露的 Slack AI 数据泄露研究，2025 年年中微软 365 Copilot 的 "EchoLeak" 零点击提示注入（CVE-2025-32711），再到这次的 AgentCorruption——形态从"泄数据"升级到"接管系统"，本质都是：不可信输入，拿到了可信身份。

这张四象限图想说明一件事：右上方——Agent 身份隔离与最小权限——是技术门槛和商业价值双高的正解，但目前玩家最少。左下角堆满了提示词过滤这类"安慰剂"：能挡住演示，挡不住真正的攻击者。

一位云安全创业公司创始人私下说的原话大意是：现在厂商发布的 Agent 安全产品，八成在解决提示词层的问题，两成在解决身份层的问题——但出事的从来是身份层。AgentCorruption 恰好就是那两成里的案子。

📜 历史在押韵：从 Copilot 到 AgentCore

金句：每次漏洞只是冰山露出水面的那一角。

把时间线拉直，你会发现 Agent 安全是被事件推着走的：

• 2024 年 8 月：安全研究团队披露 Slack AI 的提示注入可导致私有频道数据跨边界泄露
• 2025 年 7 月：Amazon 在纽约峰会上推出 Bedrock AgentCore，主打企业级 Agent 运行时
• 2025 年年中：微软确认 365 Copilot "EchoLeak" 零点击漏洞，数据可外传
• 近期：AgentCorruption 披露，单提示词可威胁整个 Agent 集群，已修复

水面之上是补丁和通报，水面之下是架构惯性。每一家 Agent 平台的默认设计，都长着 AgentCorruption 这类漏洞的土壤：为了开发体验顺手，Agent 之间共享上下文、共享凭证、共享工具权限。好用和安全，在默认配置里从来是对手。

💰 三方账本：云厂商、安全厂商与企业各欠什么债

金句：AI 员工进厂了，IAM 的编制还没批。

这笔账要分三方算。

云厂商欠的是"平台内隔离"的债。AgentCore 定位是企业级运行时，客户买的就是"集群被我管好"这个承诺。一次 fleet 级漏洞，损害的不只是一个 CVE，而是"Agent 可以放心大规模部署"这条叙事本身。据接近人士观察，头部云厂商内部已经把 Agent 隔离从功能项提级为架构红线。

安全厂商迎来的可能是过去五年最确定的新品类：Agent IAM、Agent 行为审计、高危操作审批网关。判断依据很简单——爆炸半径从主机级跳到集群级，客户愿意为"圈住半径"付的钱，是愿意为"拦住提示词"付的钱的好几倍。

企业欠的是认知的债。下面这张表，建议每个在部署 Agent 的团队对着自查一遍：

产业逻辑收束成一句话：企业把 Agent 当"AI 员工"用，却没有给"员工"建身份体系——没有工牌、没有门禁、没有考勤。AgentCorruption 只是替所有人演示了缺勤这套体系会发生什么。

🛠️ 防御路线：90 天把爆炸半径圈起来

金句：别追求不被打，先做到打穿了只剩一间屋。

对企业来说，正确的目标函数不是"永不被注入"——这在概率上做不到——而是把单点失守的爆炸半径压到一间屋的大小。给一个可执行的 90 天路线：

三个关键动作展开说：

1. 凭证拆分是第一优先级。一台 Agent 一个身份、一套最小凭证，这是把 fleet 级风险降级为单机级风险的最便宜手段，甚至不依赖任何新产品。

2. 跨 Agent 调用走显式授权。任何 Agent 转发指令时必须携带原始发起者的可验证上下文，切断"伪指令洗白"的通道。

3. 高危操作强制人工闸门。删库、转账、批量外发这类动作，无论模型多自信，人必须在环。

一句话总结这套路线的哲学：把 Agent 集群当作不可信网络来设计——默认互相不信任，每次握手都验证。

小结

AgentCorruption 这个名字起得很准：它腐蚀的不是模型，是信任模型。AWS 修掉了这个洞，但 Agent 平台"默认互信、共享凭证、全连通信任链"的架构惯性还普遍存在，下一个 AgentCorruption 大概率不会长在 AWS 身上。可以预判两件事：Agent 身份与权限管理会在两年内成为云平台的默认能力，而非附加选项；围绕"圈住爆炸半径"的安全品类会先于"拦截提示词"的品类完成商业化。补丁已到，架构的债，才刚开始还。