AgentCore-Agenten laufen in kleinen virtuellen Maschinen, die laut Zenity nicht ausreichend vom Netz der Instanz getrennt waren. Jedes Werkzeug, das HTTP-Anfragen stellen kann, erreichte so den Instance Metadata Service (IMDS), einen AWS-internen Dienst, der temporäre Zugangsdaten für die zugewiesene Rolle ausgibt. Eine einfache Anweisung im Chatfenster genügte, damit der Agent diese Daten abfragte und weitergab.
Folgenreich machte das die Standardrolle von AgentCore: Sie galt nicht nur für den einzelnen Agenten, sondern für alle AgentCore-Ressourcen der Region. Mit den erbeuteten Zugangsdaten konnten die Forscher nach eigenen Angaben andere Agenten aufrufen, alle Gesprächsprotokolle lesen, Container-Images samt Quellcode laden und Zugangsdaten aus dem AWS Secrets Manager abrufen, die eigentlich vor dem Agenten verborgen bleiben sollten. In das Langzeitgedächtnis anderer Agenten schrieben sie Anweisungen, die künftige Gespräche an einen fremden Server weiterleiteten.
Zenity meldete den IMDS-Zugriff am 25. Dezember 2025 und die zu weit gefasste Rolle am 12. Januar 2026. Seit dem 14. Februar nutzen neue Agenten laut AWS nur noch die gehärtete Variante IMDSv2; die erste Meldung schloss AWS im April als „informativ“. Die Standardrolle war bei Zenitys Nachprüfungen im Februar und Juni unverändert. Erst am 29. September fand Zenity sie deutlich eingeschränkt, ohne die Rechte zum Aufruf anderer Agenten, zum Lesen von Gesprächen und zum Zugriff auf den Secrets Manager.
Eine CVE-Nummer oder ein AWS-Sicherheitsbulletin zu dem Fall gibt es nicht; die Reaktionen von AWS sind nur aus Zenitys Darstellung bekannt. Zenity verkauft selbst Sicherheitsprodukte für KI-Agenten und stellte die Funde auf der Konferenz SecTor 2026 in Toronto vor. Zenity-CTO Michael Bargury sieht einen Grundkonflikt: Cloud-Sicherheit setze auf möglichst knappe Rechte, Agenten bräuchten Spielraum.
Aktualisiert am 13. Oktober 2026.