一条提示词，打穿一整片云
📋 总体概括
AWS Bedrock AgentCore 曝出已修复的 AgentCorruption 漏洞，一句提示词即可威胁整个 Agent 舰队；同期 Google PageBreak 用 AI 抓出自家应用 500 个漏洞。一攻一防说明：安全边界正从 API 与身份滑向 Agent 信任链，攻防两端同步进入 Agent 时代。
📄 正文
一条 AI 对话里的 Prompt，能干多大的事？AWS 给出了让整个行业坐直的答案：Amazon Bedrock AgentCore 的一个已修复漏洞，允许攻击者用一句提示词，威胁接管一家组织在整个环境里的 Agent 舰队。几乎同一时间，Google 的 AI 漏洞挖掘 Agent（Project Zero "Big Sleep" 所属体系）在自家 Web 应用生态里累计找出了数百个漏洞，公开口径高达 500 个。一攻一防，指向同一个判断：安全的边界，正在从 API 和身份，滑向 Agent 的信任链。🚨
🚨 一句 Prompt 的破坏力，被重新定义了
想象一下渗透测试的新日常：研究员不再熬夜写利用链、不绕 WAF、不碰内核提权，只是在一个 AI 聊天机器人的对话框里，敲下精心构造的一句话。接下来发生在云平台的调度层——这一句话的效果，约等于过去一个攻击团队数周的横向渗透。
这不是段子，而是 AWS 已修复的真实漏洞。据安全研究员披露及 AWS 安全公告（AWS Security Bulletins）：Bedrock AgentCore（产品页）中存在一个现已修复的漏洞，攻击者可以利用一个 AI 聊天机器人，通过单条提示词接管该组织的整个 Agent 舰队。注意两个关键词：单条提示词，和整个舰队。前者是触发成本，后者是爆炸半径——两头的量级都被推到了前所未有的位置。
需要说明：这个漏洞没有正式编号名称（部分传播中出现的"AgentCorruption"等叫法并非官方命名），准确的指称是"Bedrock AgentCore 已修复漏洞"。下文为行文方便，统一用"AgentCore 漏洞"指代。
AgentCore 的角色值得展开：它是 AWS 托管企业级 Agent 的公共底座，负责 Agent 的运行、编排与调用，2025 年推出。换句话说，它不是一个应用，而是大量企业 Agent 的宿主环境。底座级的缺陷，天然带杠杆——一个补丁，覆盖的是一整个生态的暴露面。
这里的产业逻辑很冷静：攻击者永远找价值密度最高的路径。当企业的核心业务逻辑开始跑在 Agent 上，Agent 的会话、凭证和工具权限就成了新的"金矿"。而自然语言作为"利用代码"，意味着攻击的边际成本被压到地板上。
⚙️ 攻击面迁移：Agent 把信任链拉长了
要看懂 AgentCore 漏洞为什么危险，得先看清 Agent 和传统应用的本质区别。传统应用的执行路径是确定性的：代码写死，输入经过校验，行为可预测。Agent 不是——它是大模型加工具调用、加独立身份、加跨会话记忆、加一组往往很宽的权限。每一环都是新的注入点，而 Prompt 注入本质上就是一种新的横向移动原语。
| 维度 | 传统应用攻击面 | AI Agent 攻击面 |
|---|---|---|
| 入口 | API、登录界面 | 对话输入、文档、网页内容 |
| 利用代码 | 脚本与载荷 | 自然语言提示词 |
| 权限模型 | 静态角色绑定 | 动态工具调用与凭证委派 |
| 横向移动 | 内网、凭证窃取 | 会话劫持、跨 Agent 传染 |
| 行为可预测性 | 高，代码即逻辑 | 低，模型输出即逻辑 |
传统渗透里，攻陷一台主机后要窃取凭证、扫描内网、逐台突破；Agent 环境里，这些步骤可能被压缩成一次注入。攻击链条大致是：① 向入口投喂恶意 Prompt（藏于对话或被 Agent 读取的文档/网页）→ ② 劫持该 Agent 会话 → ③ 借用其工具权限与凭证 → ④ 横向扩散至同舰队其他 Agent → ⑤ 持久化并窃取数据。
这就是为什么行业开始把"Agent 安全"从 AI 安全的子话题里单独拎出来。它面对的不是模型越狱这种"内容层"问题，而是"运行时层"的身份、权限与隔离问题——后者恰恰是云安全团队最熟悉、也最容易轻敌的领域。你没法给一个会"自己决定调什么工具"的东西，套上为确定性代码设计的防火墙规则。
🤖 防的那一端：Google 用 Agent 抓漏洞
硬币的另一面，是 Agent 也在成为防御者手里最锋利的刀。Google 的 AI 漏洞挖掘 Agent 给出了一个大数：据 Google 安全博客披露（Google Security Blog），其 AI 体系在自家庞大的 Web 应用生态里累计找出了 500 个漏洞。其中可独立核实的数据点包括：Google Project Zero 的 Big Sleep（2024 年由 "Naptime" 更名而来）在一年内于真实软件中发现了 20 个此前未知的漏洞（Project Zero 博客）。
更值得注意的是方法论——业界正在形成一条明确的技术路线：用 AI 负责发散地找疑点，用确定性验证负责收敛地证实，最终输出可利用性判断和风险评估。
这个分工很关键。纯大模型找洞的老问题是幻觉：它会一本正经地报告一个根本不存在的注入点，把安全团队的精力耗散在甄别上。这类方案的核心，是让 AI 提出假设、让确定性的验证逻辑去跑真实路径——AI 说"这里可能有问题"，验证器说"是或否"。假设可以错一百次，结论必须对。
回头看，攻防两端在这批素材里呈现出罕见的同构性：AgentCore 漏洞攻击的对象是 Agent，Google 的防御工具也是 Agent。攻击者用一句 Prompt 打穿舰队，防御者用一个 Agent 扫出数百个洞——同一技术栈，同时武装了矛和盾。这几乎是每一轮安全范式转移的标准剧本：云被滥用的同时，云原生安全也长了出来。
对安全团队更现实的意义是节奏。人肉渗透测试的
本文由本站 AI 辅助聚合生成，原始来源如下：