Satu Prompt, Seluruh Agen AWS Tumbang: Celah AgentCorruption dan Bahaya Konfigurasi Default
Baca dalam 60 detik
- Riset Zenity Labs mengungkap kelemahan SSRF di AWS Bedrock AgentCore yang memungkinkan penyerang mencuri kredensial sementara lewat Instance Metadata Service.
- Peran eksekusi default yang terlalu luas membuat satu agen yang diretas bisa membuka akses ke seluruh akun dan wilayah AWS, termasuk percakapan privat dan Secrets Manager.
- AWS baru memperketat izin sembilan bulan setelah laporan, menyisakan pertanyaan besar tentang keamanan agen yang beroperasi selama periode tersebut.
Sebuah celah keamanan pada layanan agen AI milik Amazon Web Services (AWS) memungkinkan penyerang menguasai seluruh ekosistem agen hanya bermodal satu prompt. Temuan ini dipaparkan oleh peneliti dari Zenity Labs, Tamir Ishay Sharbat dan Lana Salameh, dalam ajang SecTor 2026 di Toronto, dan menyoroti risiko serius dari konfigurasi default yang terlalu permisif.
Serangan yang dijuluki AgentCorruption ini memanfaatkan teknik Server-Side Request Forgery (SSRF), di mana aplikasi dipaksa mengirim permintaan ke sumber daya internal yang seharusnya tertutup. Pada kasus ini, agen AWS Bedrock AgentCore yang terekspos publik dapat diarahkan untuk mengakses Instance Metadata Service (IMDS) di alamat 169.254.169.254. Karena isolasi jaringan pada Firecracker MicroVM dinilai kurang ketat, agen berhasil menjangkau endpoint metadata dan menarik kredensial AWS sementara.
Yang membuat dampaknya meluas bukanlah rantai serangan teknisnya, melainkan pilihan konfigurasi bawaan. Peran eksekusi default untuk AgentCore diberikan cakupan ke seluruh sumber daya dalam satu akun dan wilayah AWS, bukan dibatasi pada agen tertentu. Akibatnya, begitu penyerang mengantongi kredensial satu agen, ia praktis memegang kunci seluruh lingkungan. Kredensial tersebut dapat dipakai untuk memanggil agen lain di wilayah yang sama, membaca percakapan privat, menarik image kontainer dari ECR untuk mencuri kode sumber, hingga mengambil data sensitif dari AWS Secrets Manager.
Ancaman paling mengkhawatirkan adalah pencemaran memori (memory poisoning). Dengan memanfaatkan fungsi CreateEvent pada BedrockAgentCoreMemory, penyerang dapat menanamkan instruksi yang bertahan lintas sesi. Pengguna kemudian berinteraksi dengan agen enterprise yang tampak tepercaya, padahal agen tersebut menjalankan perintah dari penyerang. Berbeda dengan serangan cloud pada umumnya yang bersifat sementara, ini adalah pembajakan persisten.
Penting untuk membedakan AgentCorruption dari CoreBreak (CVE-2026-18830) yang pernah diberitakan sebelumnya. CoreBreak mengeksploitasi API InvokeHarness dan menembus guardrail model, sedangkan AgentCorruption adalah persoalan infrastruktur—yakni manajemen identitas dan akses platform, bukan logika model.
"AWS pada awalnya menyebut perilaku ini sebagai sesuatu yang terdokumentasi dan memang diharapkan, dengan alasan agen dapat mengakses kredensial untuk peran eksekusinya sendiri melalui layanan metadata," ujar sumber yang mengetahui laporan tersebut.
Respons AWS mencerminkan ketegangan yang berulang dalam keamanan cloud. Saat pertama dilaporkan pada 25 Desember 2025, AWS menganggap perilaku tersebut wajar. Namun, perusahaan kemudian merilis langkah penguatan: menjadikan IMDSv2 sebagai default untuk deployment baru pada 14 Februari 2026, dan pada 29 September 2026 secara signifikan mengurangi izin peran eksekusi—menghapus akses untuk pemanggilan lintas agen, pembacaan percakapan, dan Secrets Manager. Seperti dicatat The Register dalam liputannya pada 9 Oktober, karakterisasi "sekadar perilaku terdokumentasi" tidak sejalan dengan skenario yang dijelaskan Zenity.
Jeda sembilan bulan antara laporan awal dan pengurangan izin final menimbulkan pertanyaan tentang postur keamanan agen yang di-deploy selama periode itu. Meski tidak ada CVE yang diterbitkan dan tidak ada bukti eksploitasi di dunia nyata, keterlambatan tersebut menggarisbawahi risiko mengandalkan konfigurasi default.
Insiden ini adalah bagian dari pola "trust-through-defaults" yang lebih luas, di mana sistem dikirim dengan pengaturan permisif yang mengutamakan kemudahan daripada keamanan. Pola serupa pernah muncul pada Splunk Patroni, SonicWall SMA 1000, hingga fenomena Ships Without Auth. AgentCorruption hanyalah iterasi terbaru dari pola tersebut, kini diterapkan pada agen AI.
Bagi Indonesia, pelajaran ini relevan. Adopsi agen AI di sektor perbankan, e-commerce, dan layanan publik kian masif, sering kali dengan mengandalkan pengaturan bawaan dari penyedia cloud global. Tanpa audit izin yang ketat dan isolasi jaringan yang memadai, celah serupa bisa menjadi pintu masuk bagi kebocoran data nasional. Regulator perlu mendorong standar keamanan agen AI yang tidak sekadar mengikuti default vendor.
Ke depan, pertanyaannya bukan lagi apakah agen AI akan menjadi target, melainkan seberapa cepat organisasi meninggalkan kepercayaan buta pada konfigurasi default. Selama pengaturan permisif masih menjadi norma, setiap prompt bisa menjadi kunci bagi seluruh istana digital.
