Zenity가 10월 8일 공개한 AgentCorruption은 공개 접근 가능한 Amazon Bedrock AgentCore 에이전트에서 주변 런타임과 지속 메모리로 이어진 과거 경로를 설명한다. 결정적 조건은 같은 AWS 계정·리전의 과도한 실행 역할이었다. 다른 AWS 고객 침입이나 관리자 비밀번호 탈취가 아니다.
프롬프트가 유도한 네트워크 요청으로 임시 자격 증명이 노출되고 IAM이 범위를 넓혔다. 공개 전 연구진은 AWS 기본 역할이 크게 제한됐음을 확인했다. 이전 시험 설정의 결함을 보인 것이며 현재 모든 AgentCore에 전체 공격 연쇄가 남았다는 증거는 아니다.
프롬프트가 신뢰된 워크로드 신원을 넘었다
2025년 10월 정식 제공된 AgentCore는 격리 런타임·신원·메모리·게이트웨이·브라우저·코드 실행·관측을 결합한다. 운영 문제를 풀지만 microVM 밖의 권한 의존성도 만든다.
시험에서 HTTP 도구는 불신 지시를 따라 로컬 워크로드 메타데이터를 요청했다. AWS는 링크 로컬 서비스를 쓰며 AgentCore Firecracker microVM에는 관련 MMDS가 있다. 임시 실행 역할 자격 증명은 영구 키를 이미지에 넣지 않고 승인 자원을 사용하게 하는 정상 기능이다.
요청이 VM 내부에서 나와 로컬로 취급됐고 임시 액세스 키·비밀 키·세션 토큰을 반환했다고 한다. 공격자가 직접 못 닿는 곳에 서버를 유도하는 SSRF 형태다. 프롬프트 주입이 의도, 도구가 네트워크 능력, 메타데이터가 신원을 제공했다.
불안전한 글만으로는 연쇄가 생기지 않는다. 도구의 불필요한 메타데이터 접근을 막으면 중단되고 좁은 역할은 유출 뒤 결과도 제한한다. AWS는 VM 안 코드나 행위자가 자격 증명에 접근할 수 있다고 명시하고 최소 권한을 요구한다.
첫 메타데이터 신고는 2025년 12월 25일이었다. AWS는 2026년 4월 12일 정보성으로 닫으며 2월 14일부터 신규 배포가 IMDSv2를 썼다고 했다. 토큰 선행 단계는 전통적 SSRF를 많이 막지만 유연한 자율 도구가 그 요청도 수행할 수 있다. Zenity는 마찰 증가이지 신뢰 문제 해결은 아니라고 봤다.
현 지침은 2026년 6월 30일부터 MMDSv2 없는 런타임을 거부한다고 한다. 고객은 requireMMDSV2 등 배포 설정을 확인하고 과거 설정이 전부 바뀌었다고 가정하지 말아야 한다. 메타데이터 강화는 한 층이며 정상 코드가 가진 과도한 권한을 정당화하지 않는다.
넓은 권한이 초기 발판을 다른 자원으로 넓혔다
1월 12일 두 번째 신고는 역할 범위였다. 지역 CloudWatch 로그 그룹과 AgentCore 명명 규칙에서 런타임·메모리 식별자를 알아내 사전 목록 없이 탐색했다고 한다. 지역 ECR 권한과 예측 가능한 저장소는 이미지·코드·설정 노출로 이어질 수 있었다.
시험의 와일드카드 호출 권한은 같은 계정·리전 비공개 에이전트에 닿았다. 공개 지원 봇이 민감한 청구 에이전트를 만날 수 있었다. 연구진은 정상 API로 시험 청구 도구와 billing.json을 보여줬으며 두 번째 독립 소프트웨어 취약점을 쓴 것이 아니다.
메모리 권한으로 다른 에이전트·사용자의 행위자·세션·이벤트를 열람했다고 한다. 대화에는 개인정보·코드·계획·고객 기록·지원 중 붙여 넣은 자격 증명이 있을 수 있다. 비밀을 대화에 넣었어야 하는지와 무관한 워크로드가 읽을 수 있는지는 별개다.
생성·삭제 권한은 기밀성뿐 아니라 무결성도 위협했다. 거짓 맥락을 활성 세션에 넣고 실제 도구 결과를 지울 수 있다. 계산 격리는 같은 신원의 다른 자원 호출·변경을 막지 않으므로 권한 격리가 따로 필요하다.
AWS는 2월 25일 근본 문제를 다룬다고 알렸다. 연구진에 따르면 6월 22일 기본 역할은 그대로였으나 9월 29일에는 런타임 간 호출·비공개 대화·Secrets Manager 접근이 제거되고 다른 권한도 줄었다.
현재 위험 주장은 이에 따라 제한된다. 자체 역할·복사 정책·옛 배포는 점검해야 하지만 과거 시연이 오늘 동일 권한을 증명하지 않는다. 통제된 환경의 연구이며 인용된 공개 근거는 고객에 대한 광범위 악용을 입증하지 않는다. 당시 AWS의 전체 연쇄 전용 보안 공지도 없었다.
자격 증명이 만료돼도 메모리 영향은 남을 수 있다
단기 메모리는 세션 이벤트, 장기 전략은 사실·선호·요약·교훈을 추출한다. 미해결 사례나 서식을 기억하는 편의와 함께 이력을 사후 증거가 아닌 미래 결정 입력으로 만든다.
Zenity는 로그로 메모리 ID를 찾고 행위자·세션·전략을 열거해 악성 이벤트를 추가했다고 한다. 추출이 일부를 장기 기록으로 바꾸고 이후 세션이 신뢰 맥락으로 회수할 수 있었다. 매번 최초 주입을 반복할 필요가 없었다.
연구진은 시험에서 이를 지속 명령·통제로 표현했다. 실제 결과는 설정·검색·모델·도구·권한에 달린다. 거짓 목적지·승인·요약은 무결성 위험의 예이지 모든 기억이 모든 에이전트를 지배한다는 뜻이 아니다.
삽입한 어시스턴트 이력은 이전 판단처럼 보이며 삭제 결과는 반대 근거를 없앤다. 만료나 교체는 새 API 접근을 막아도 복사 코드·비밀·오염 상태를 지우지 않는다. 복구는 접촉한 세션·이벤트·요약·추출 기억을 찾아야 한다.
AWS는 검증·저장 전 보호·정기 주입 시험·최소 권한을 권한다. 출처는 사용자·에이전트·세션·추출을 표시해 격리 검토를 가능하게 해야 한다. 문체와 결제 목적지·접근 승인은 결과가 다르므로 후자는 더 엄격한 생성·보존·검토가 필요하다.
기억만으로 고위험 행동을 승인하면 안 된다. 선호 은행 계좌를 기억해도 현재 독립 승인을 대체하지 못한다. 읽기 외 쓰기·삭제, 비정상 수량·에이전트 간 패턴을 CloudTrail·앱 로그·AgentCore 관측으로 감시해야 한다.
권한 경계는 모델 판단 밖에 있어야 한다
AWS는 CLI가 만든 넓은 개발 정책을 운영에 쓰지 말고 특정 런타임 ARN을 쓰라고 한다. 실행 역할은 호출을 허용받은 주체보다 권한이 커서는 안 된다. 공개 에이전트에는 특히 좁은 권한이 필요하다.
모든 공개 에이전트가 위험하다는 뜻은 아니다. 인증 고객의 적대 요청이나 페이지·문서의 간접 지시도 언어는 불신 입력이다. 인증은 호출자를 식별하지만 제공 의미 전체를 안전하게 만들지 않는다.
게이트웨이·가드레일·인터셉터는 다른 허용 경로가 우회하지 못할 때만 정책을 지킨다. 지정 입구가 게이트웨이라면 직접 호출을 그 실행 역할로 제한해야 한다. 사용자 신원은 모델 생성이나 자기주장 레이블이 아닌 검증된 주체에서 얻어야 한다.
자원별 IAM은 무관한 에이전트·이미지·지역 로그·메모리를 막을 수 있다. 공개·내부 워크로드가 편의 때문에 역할을 공유해서는 안 된다. 계정·리전 분리가 민감 기능의 경계를 분명히 할 수 있다.
도구는 특권 인터페이스이지 모델이 선택해 얻는 권한이 아니다. 인증 사용자·자원·작업을 독립적으로 승인해야 한다. 기술 지식 기록은 소유자·정책·위협 모델·대응 절차를 연결하지만 강제 거부를 대신하지 못한다.
현재 점검에는 과거와 지속 상태가 필요하다
점검은 실행 역할·메타데이터·공개/IAM/JWT 입구·우회·런타임 간 권한·ECR·로그·사용자 간 기억·이벤트 쓰기 삭제·토큰과 Secrets Manager를 포함해야 한다. 신원·자원 정책을 함께 시험해 예상 거부를 확인해야지 작동한 프로토타입으로 판단하면 안 된다.
과거 노출은 현재 정책뿐 아니라 해당 기간 CloudTrail·런타임 호출·메타데이터 활동·이미지·메모리·비밀 접근을 살펴야 한다. 임시 신원도 지속 결과를 남기므로 교체와 상태 검증은 상호 보완이다.
앞으로 유용한 증거는 AWS 공식 공지·이전 지침, 도구와 자격 증명 엔드포인트의 강한 분리, 고객이 볼 수 있는 기억 출처·제한 쓰기·알림·일괄 격리다. 이미 제공된 기능으로 가정할 대상이 아니다.
더 큰 질문은 모델이 악성 지시를 따른 뒤 무엇이 가능한가다. 관리형 기반은 복잡성을 줄이지만 도구·신원·지속 기억을 넓게 신뢰하는 한 역할로 안전하게 합칠 수 없다. 모델 방어가 실패해도 결정론적 권한이 조작된 답변을 계정 전체 사고로 확대하지 않도록 해야 한다.
출처와 관련 자료
Zenity 공격 연쇄 연구 · AWS 자격 증명 지침 · Zenity 실행 역할 분석 · AWS 런타임 보안 지침 · 관련: 기술 지식베이스 · Zenity 메모리 오염 연구 · AWS 메모리 지침 · AgentCorruption 보도