AI Agent时代，最危险的不是模型“越狱”，而是云基础设施的权限失控。
最近，安全机构Zenity披露了亚马逊AWS Bedrock AgentCore的一个严重漏洞。攻击者只需要在网页聊天框里，向一个公开的AI Agent发送一句简单的提示词，要求它解析一个特定的URL，就能直接套出AWS的底层临时凭证，进而接管该账号下同一区域内的所有Agent。
这次事件显示了云计算厂商在抢占Agent市场时，为了追求部署便利，在底层架构上违背了最基本的“最小权限原则”。
这是一起典型的“AI诱发、传统云安全兜底失败”的连环事故。
AWS底层虽然用了Firecracker微虚拟机来运行Agent，但没有做好网络隔离。这导致Agent可以访问云主机的实例元数据服务。
传统黑客要利用漏洞去读取元数据，需要寻找代码缺陷；但现在，Agent天生具备联网和读取URL的能力。攻击者只需要用自然语言“命令”它去读内部地址，它就会乖乖把含密钥的JSON数据吐出来。
AWS给单个Agent分配的默认IAM角色权限，居然覆盖了整个区域的AgentCore资源。
后果是灾难性的。一旦拿到一个边缘Agent的凭证，攻击者不仅能拉取容器镜像查看全部源代码、读取所有用户的历史聊天记录，甚至还能直接往其他Agent的“记忆库”里写入恶意数据。这意味着，攻击者可以持久化地篡改其他AI的行为逻辑，在未来的对话中劫持它们的目标。
现在各大厂都在推“一键部署Agent”，比拼谁的开发门槛更低、打通的企业内部工具更多。为了极致的丝滑，平台往往会默认给Agent开启极高的系统权限。
而AWS事后回应称“这属于功能特性而非漏洞，需要开发者自己负责”，也暴露出云厂商与企业客户在AI安全责任边界上的推诿与模糊。
当你决定把数据库、内部API交给Agent去调用时，传统的网络防火墙其实已经失效了。因为那个能够跨过防火墙、拥有最高权限的“内鬼”，正坐在大门口热情地接待每一个外部访客。
在急着给AI赋予手脚和工具之前，人类是不是应该先想清楚，该如何给它戴上手铐？