Une simple phrase gliss\u00e9e dans un chat suffisait, selon des chercheurs, pour prendre le contr\u00f4le de tous les agents d’IA d’une entreprise h\u00e9berg\u00e9s sur AgentCore, la plateforme d’Amazon Web Services d\u00e9di\u00e9e aux agents sur Bedrock. L’\u00e9quipe de Zenity Labs a d\u00e9taill\u00e9 cette semaine une faille qu’elle avait signal\u00e9e \u00e0 AWS d\u00e8s d\u00e9cembre 2025.<\/p>\n
Le sc\u00e9nario d\u00e9crit est d’une simplicit\u00e9 d\u00e9routante. L’attaquant discute avec un agent expos\u00e9 publiquement et lui demande de lire le contenu d’une adresse interne, celle du service de m\u00e9tadonn\u00e9es de l’instance (IMDS). Ce service renferme normalement des informations techniques sur la machine virtuelle, mais aussi des jetons de s\u00e9curit\u00e9 temporaires. L’agent, serviable, recopie le tout dans sa r\u00e9ponse.<\/p>\n
Deux faiblesses se cumulaient. D’abord, la micro-VM Firecracker qui isole l’agent n’offrait pas une s\u00e9paration r\u00e9seau suffisante. Ensuite, le r\u00f4le attribu\u00e9 par d\u00e9faut \u00e9tait bien trop large : il couvrait toutes les ressources AgentCore de la r\u00e9gion, et non un seul agent. Avec ces identifiants, l’intrus pouvait lister les autres agents, r\u00e9cup\u00e9rer leurs images de conteneurs, lire les conversations des utilisateurs, interroger AWS Secrets Manager et m\u00eame \u00e9crire de fausses m\u00e9moires pour d\u00e9tourner durablement le comportement des agents.<\/p>\n
Selon Zenity, AWS a d’abord r\u00e9pondu en avril 2026 que le rapport \u00e9tait \u00ab informatif \u00bb et l’a clos, en pr\u00e9cisant qu’AgentCore n’utilisait plus que la version 2 du service de m\u00e9tadonn\u00e9es depuis le 14 f\u00e9vrier, version plus robuste face \u00e0 ce type de d\u00e9tournement. Les permissions excessives, elles, \u00e9taient encore en place le 22 juin et ne se sont av\u00e9r\u00e9es corrig\u00e9es qu’au dernier contr\u00f4le des chercheurs, le 29 septembre.<\/p>\n
Amazon conteste cette lecture : le groupe estime que l’\u00e9tude pr\u00e9sente comme une vuln\u00e9rabilit\u00e9 un comportement document\u00e9 et qu’une erreur de configuration du d\u00e9veloppeur serait n\u00e9cessaire pour reproduire l’attaque. Les chercheurs, eux, affirment que leur sc\u00e9nario ne suppose rien de tel.<\/p>\n
Pour les entreprises qui d\u00e9ploient des agents d’IA, l’\u00e9pisode rappelle une r\u00e8gle simple : un agent qui peut lire des adresses web \u00e0 la demande doit \u00eatre trait\u00e9 comme une porte d’entr\u00e9e, avec des droits r\u00e9duits au strict n\u00e9cessaire.<\/p>\n
<\/p>\n