Zenity Labs ontdekt kritiek beveiligingslek in AWS Bedrock AgentCore

Het lek legt een fundamenteel conflict bloot in het huidige AI-tijdperk: AI-agents hebben ruimte nodig om flexibel en autonoom te handelen, terwijl cloudbeveiliging juist gebaseerd is op het zo strikt mogelijk afkaderen van rechten (least privilege). Wanneer die twee werelden botsen, kunnen de gevolgen voor bedrijven catastrofaal zijn.

Een eeuwenoud cloudprobleem in een nieuw AI-jasje

Het probleem ontstond door een bekende kwetsbaarheid in de cloudwereld: Server-Side Request Forgery (SSRF) in combinatie met de Instance Metadata Service (IMDS) van AWS.

AI-agents binnen AgentCore draaien in zogeheten MicroVMs. Deze virtuele omgevingen bleken netwerktechnisch niet voldoende geïsoleerd. Wanneer een AI-agent uitgerust was met een tool om webverzoeken (HTTP-requests) te doen, kon een aanvaller via een kwaadaardige tekst-prompt (prompt injection) de agent dwingen een verzoek te sturen naar het interne IP-adres van de IMDS-dienst (169.254.169.254).

Omdat het verzoek vanuit de virtuele machine zelf kwam, gaf de metadata-dienst getrouw de tijdelijke beveiligingssleutels (IAM-credentials) van de agent vrij aan de aanvaller.

Buitensporige rechten en een enorme schade-impact

Met de buitgemaakte toegangssleutels werd de omvang van het beveiligingsrisico pas echt duidelijk. De standaardinstellingen van AWS voor het AgentCore-beheerdersprofiel bleken extreem 'overgepriviligeerd' te zijn. De rechten waren niet afgekaderd tot die ene specifieke agent, maar golden voor alle AgentCore-bronnen binnen het hele account en de betreffende regio.

Aanvallers konden vervolgens via eenvoudige commando's:

Alle AI-agents opsporen en overnemen: Inclusief het binnenhalen van de bijbehorende Docker-images (ECR) en het aanroepen van interne, afgeschermde agents.

Privegesprekken meelezen: Toegang krijgen tot de volledige chatgeschiedenis en vertrouwelijke data van alle gebruikers en agents in de organisatie.

Geheugenvergiftiging (Memory Poisoning): Kwaadaardige instructies permanent wegschrijven in het langetermedgeheugen van AI-agents, waardoor deze ook in de toekomst ongemerkt opdrachten van de aanvaller bleven uitvoeren.

Wachtwoorden en API-sleutels stelen: Vertrouwelijke inloggegevens en API-tokens buitmaken die veilig opgeslagen lagen in AWS Secrets Manager en AgentCore Identity.

Verantwoordelijke openbaarmaking en AWS-reactie

Zenity Labs meldde de bevindingen al eind december 2025 en begin januari 2026 bij AWS via een proces van responsible disclosure. AWS stelde aanvankelijk dat de metadata-toegang verwacht gedrag was, maar heeft in de loop van 2026 ingrijpende aanpassingen doorgevoerd.

Het cloudplatform verplichtte het gebruik van de veiligere IMDSv2-standaard en per september 2026 heeft AWS het standaard Rechtenprofiel (default execution role) van AgentCore ingrijpend ingeperkt. Buitensporige toegang tot geheime sleutels, gesprekslogboeken en regio-brede agent-uitvoering is hierbij verwijderd.

In een officiële reactie benadrukt AWS dat de beschreven functionaliteit documenteerd is en herhaalt het bedrijf de aanbeveling aan klanten om het principle of least privilege toe te passen. Ontwikkelaars moeten er volgens het techconcern zelf voor zorgen dat AI-agents alleen de minimale rechten krijgen die strikt noodzakelijk zijn voor hun taak.

Waarschuwing voor de enterprise-sector

De kwetsbaarheid illustreert de risico's van het inzetten van autonome AI binnen bestaande cloud-infrastructuren. Bedrijven laten interne en klantgerichte AI-agents vaak naast elkaar in dezelfde cloudomgevingen draaien. Een enkel lek in een publieke agent kan de complete beveiligingsschil van een organisatie doen instorten, met alle gevolgen van dien voor bedrijfsgeheimen en privacy gevoelige data.