Eine inzwischen behobene Schwachstelle in AWS Bedrock AgentCore hätte es einem Angreifer laut dem Bericht über das Problem ermöglichen können, durch einen einzigen bösartigen Prompt eine größere Anzahl cloudverbundener KI-Agenten zu kompromittieren.
Die als „AgentCorruption“ bezeichnete Schwachstelle verdeutlicht Sicherheitsbedenken rund um KI-Systeme, die im Namen von Nutzern oder Organisationen Aktionen ausführen können. Statt einen KI-Chatbot auf die Beantwortung von Fragen zu beschränken, können agentenbasierte Systeme mit Tools, Datenquellen, APIs und Cloud-Diensten verbunden sein. Diese Fähigkeiten können zusätzliche Risiken schaffen, wenn ein Angreifer die Anweisungen oder das Verhalten des Agenten beeinflussen kann.
Potenzielle Auswirkungen
Im beschriebenen Szenario hätte ein erfolgreicher Angriff es einem kompromittierten KI-Chatbot ermöglichen können, die umfassendere Agentenflotte einer Organisation zu beeinträchtigen. Die verfügbare Beschreibung enthält keine Details zum genauen technischen Angriffsweg, zu betroffenen Konfigurationen oder dazu, ob die Schwachstelle aktiv ausgenutzt wurde.
Dennoch unterstreicht der Fund eine zentrale Herausforderung für Organisationen, die KI-Agenten in Cloud-Umgebungen einsetzen: Ein Prompt sollte nicht als vertrauenswürdige Anweisung behandelt werden, nur weil er ein autorisiertes System erreicht. Eingaben von Nutzern, Dokumenten, Websites, verbundenen Anwendungen und anderen Agenten können allesamt nicht vertrauenswürdige Inhalte enthalten.
Überlegungen zur Abwehr
- Wenden Sie AWS-Sicherheitsupdates an und überprüfen Sie Bedrock-AgentCore-Bereitstellungen auf ihren aktuellen Patch-Status.
- Beschränken Sie Agentenberechtigungen durch Zugriffskontrollen nach dem Least-Privilege-Prinzip und verwenden Sie getrennte Identitäten für unterschiedliche Workloads.
- Fordern Sie für sensible Aktionen eine Validierung und Genehmigung, insbesondere bei Vorgängen mit Zugangsdaten, Infrastrukturänderungen oder Zugriff auf Organisationsdaten.
- Überwachen Sie Agentenaktivitäten, Tool-Aufrufe und ungewöhnliches agentenübergreifendes Verhalten auf Anzeichen von Missbrauch.
- Testen Sie KI-Workflows vor der Produktivsetzung auf Risiken durch Prompt-Injection und indirekte Anweisungen.
Organisationen, die cloudbasierte KI-Agenten einsetzen, sollten zudem klare Grenzen zwischen Konversationsschnittstellen und privilegierten Betriebssystemen ziehen. Die Begrenzung der einem Agenten verfügbaren Tools und die Sicherstellung, dass folgenschwere Aktionen unabhängige Prüfungen erfordern, können die Folgen eines erfolgreichen promptbasierten Angriffs verringern.