शोधकर्ताओं ने क्या किया
ज़ेनिटी लैब्स ने 8 अक्टूबर को एक शृंखला का पहला हिस्सा प्रकाशित किया जिसे वह एजेंटकरप्शन कहती है। निशाना है अमेज़न बेडरॉक एजेंटकोर रनटाइम, वह प्रबंधित सेवा जिससे कंपनियाँ एडब्ल्यूएस पर एआई एजेंट चलाती हैं।
शोधकर्ताओं ने स्ट्रैंड्स से बना एक नमूना एजेंट तैनात किया, जो एडब्ल्यूएस का ओपन-सोर्स एजेंट एसडीके है, और उसके अंतर्निहित http_request औज़ार का उपयोग किया। फिर उन्होंने एजेंट से कहा कि वह 169.254.169.254 पर इंस्टेंस मेटाडेटा एंडपॉइंट से जानकारी लाए और उत्तर उनके नियंत्रण वाले श्रोता को भेज दे। उसने ऐसा ही किया। यही परिणाम उन्होंने एसडीके के shell औज़ार से भी दोहराया।
ज़ेनिटी का निष्कर्ष औज़ार के बजाय प्लेटफ़ॉर्म पर है: “माइक्रोवीएम ने मेटाडेटा सेवा तक जाने वाले ट्रैफ़िक को सीमित नहीं किया”, और “अलगाव की विफलता प्लेटफ़ॉर्म स्तर पर है, औज़ार स्तर पर नहीं”।
मेटाडेटा से क्या मिला
मेटाडेटा सेवा ने एजेंट के एक्ज़ीक्यूशन रोल का नाम और उसकी अस्थायी एसटीएस क्रेडेंशियल लौटाईं। शोधकर्ताओं ने पुष्टि की कि ये क्रेडेंशियल एजेंटकोर के पूरी तरह बाहर भी काम करती हैं: aws sts get-caller-identity ने एजेंट की ग्रहण की हुई भूमिका लौटाई।
वहाँ से मेटाडेटा देता रहा। यूज़र-डेटा ने इलास्टिक कंटेनर रजिस्ट्री में एजेंट की कंटेनर इमेज का यूआरआई उजागर किया। इंस्टेंस टैग्स ने एमटीएलएस प्रमाणपत्र और कुंजी सामग्री तथा एक प्री-साइन्ड एस3 यूआरएल उजागर किया।
एक एजेंट सब तक क्यों पहुँचा
एक्ज़ीक्यूशन रोल वह हिस्सा है जिस पर ज़ेनिटी सबसे सख़्त है: “एजेंटकोर डिफ़ॉल्ट रूप से एजेंट रनटाइम से जो भूमिका जोड़ता है, उसके विशेषाधिकार बुरी तरह अत्यधिक हैं”। उसमें वाइल्डकार्ड के साथ ईसीआर पढ़ने की अनुमतियाँ थीं, और एजेंटकोर इमेज रिपॉज़िटरी के नाम पूर्वानुमेय ढंग से bedrock-agentcore-<एजेंट_नाम> रखता है।
इस संयोजन ने एक समझौता किए गए एजेंट को उसी खाते और क्षेत्र के बाक़ी सभी एजेंटों की निर्देशिका बना दिया। शोधकर्ताओं के शब्दों में, “खोजे गए सभी एजेंटों पर अपना स्वचालित औज़ार चलाने से हमें कुछ ही सेकंडों में क्षेत्र के सभी एजेंटों का पूरा सोर्स कोड मिल गया”। ज़ेनिटी कहती है कि आगे की प्रविष्टियाँ एजेंटकोर और क्षेत्र की अन्य एडब्ल्यूएस सेवाओं में पढ़ने, लिखने और मिटाने की क्षमताओं को कवर करेंगी।
एडब्ल्यूएस ने क्या बदला, और अब क्या कहता है
ज़ेनिटी की समयरेखा अपने भीतर ही असंगत है: पाठ कहता है कि निष्कर्ष 17 दिसंबर 2025 को एडब्ल्यूएस को भेजे गए, जबकि उसकी अपनी तालिका आईएमडीएस प्रकटीकरण की तारीख़ 25 दिसंबर 2025 बताती है। उसके बाद की तारीख़ें अधिक स्पष्ट हैं। 14 फ़रवरी 2026 को एजेंटकोर केवल आईएमडीएसवी2 पर चला गया, इसलिए नए तैनात एजेंट उसी के साथ शुरू होते हैं। 12 अप्रैल 2026 को एडब्ल्यूएस ने उत्तर दिया और रिपोर्ट को “सूचनात्मक” मानकर बंद कर दिया। कोई सीवीई नहीं दिया गया।
एडब्ल्यूएस का रुख़, 9 अक्टूबर को द डिकोडर द्वारा दिए गए बयान में, यह है कि शोध “अपेक्षित और प्रलेखित व्यवहार को ग़लत ढंग से भेद्यता के रूप में चित्रित करता है”। एडब्ल्यूएस ने कहा कि एक एजेंट दूसरे खाते के संसाधनों तक केवल तभी पहुँच सकता है जब डेवलपर ने एक्ज़ीक्यूशन रोल और लक्ष्य संसाधन दोनों पर स्पष्ट अनुमति दी हो, और वह अपनी रनटाइम अनुमतियों की दस्तावेज़ी तथा न्यूनतम विशेषाधिकार वाली भूमिकाओं की ओर इशारा करता है। द डिकोडर बताता है कि एडब्ल्यूएस ने बाद में डिफ़ॉल्ट एक्ज़ीक्यूशन रोल भी संकुचित किया और दूसरे एजेंटों को बुलाने, निजी बातचीत पढ़ने तथा सीक्रेट्स मैनेजर से क्रेडेंशियल लेने की अनुमतियाँ हटाईं।
असली बहस
दोनों पक्ष तकनीक पर सहमत हैं और इस पर असहमत कि यह किसका काम था। एडब्ल्यूएस का तर्क है कि डिफ़ॉल्ट भूमिका एक शुरुआती बिंदु है और दस्तावेज़ कहता है कि उसे संकुचित करें। ज़ेनिटी का तर्क है कि एक प्रबंधित एजेंट रनटाइम, जिसका सैंडबॉक्स मेटाडेटा सेवा नहीं रोकता और जिसकी डिफ़ॉल्ट भूमिका पड़ोसियों की गिनती कर सकती है, ऐसा डिफ़ॉल्ट भेज रहा है जिसे अधिकांश ग्राहक कभी नहीं बदलेंगे।
यह वही बहस है जो क्लाउड उद्योग ने सार्वजनिक एस3 बकेट को लेकर की थी, और वह दस्तावेज़ बदलकर नहीं, डिफ़ॉल्ट बदलकर सुलझी थी।
किस पर नज़र रखें
ज़ेनिटी कहती है कि यह पहली किस्त है। बाद की किस्तें ही मायने रखती हैं: क्रेडेंशियल तक शुरुआती पहुँच गंभीर निष्कर्ष है, पर जिस दावे ने ध्यान खींचा वह एक क्षेत्र के सभी एजेंटों में पार्श्व गति है, और वह हिस्सा विस्तार से अभी प्रकाशित होना है।
जो आज एजेंटकोर पर एजेंट चला रहे हैं, उनके लिए करने योग्य बात विवाद में नहीं है। विक्रेता और उसके आलोचक एक ही बात कहते हैं: डिफ़ॉल्ट एक्ज़ीक्यूशन रोल के साथ उत्पादन में मत जाइए।
