Une simple phrase glissée dans un chat suffisait, selon des chercheurs, pour prendre le contrôle de tous les agents d’IA d’une entreprise hébergés sur AgentCore, la plateforme d’Amazon Web Services dédiée aux agents sur Bedrock. L’équipe de Zenity Labs a détaillé cette semaine une faille qu’elle avait signalée à AWS dès décembre 2025.
Une demande anodine, des identifiants dérobés
Le scénario décrit est d’une simplicité déroutante. L’attaquant discute avec un agent exposé publiquement et lui demande de lire le contenu d’une adresse interne, celle du service de métadonnées de l’instance (IMDS). Ce service renferme normalement des informations techniques sur la machine virtuelle, mais aussi des jetons de sécurité temporaires. L’agent, serviable, recopie le tout dans sa réponse.
Deux faiblesses se cumulaient. D’abord, la micro-VM Firecracker qui isole l’agent n’offrait pas une séparation réseau suffisante. Ensuite, le rôle attribué par défaut était bien trop large : il couvrait toutes les ressources AgentCore de la région, et non un seul agent. Avec ces identifiants, l’intrus pouvait lister les autres agents, récupérer leurs images de conteneurs, lire les conversations des utilisateurs, interroger AWS Secrets Manager et même écrire de fausses mémoires pour détourner durablement le comportement des agents.
Un correctif en plusieurs temps
Selon Zenity, AWS a d’abord répondu en avril 2026 que le rapport était « informatif » et l’a clos, en précisant qu’AgentCore n’utilisait plus que la version 2 du service de métadonnées depuis le 14 février, version plus robuste face à ce type de détournement. Les permissions excessives, elles, étaient encore en place le 22 juin et ne se sont avérées corrigées qu’au dernier contrôle des chercheurs, le 29 septembre.
Amazon conteste cette lecture : le groupe estime que l’étude présente comme une vulnérabilité un comportement documenté et qu’une erreur de configuration du développeur serait nécessaire pour reproduire l’attaque. Les chercheurs, eux, affirment que leur scénario ne suppose rien de tel.
Pour les entreprises qui déploient des agents d’IA, l’épisode rappelle une règle simple : un agent qui peut lire des adresses web à la demande doit être traité comme une porte d’entrée, avec des droits réduits au strict nécessaire.
