Un prompt expone las credenciales de un agente de AWS; la compañía lo califica de comportamiento documentado, en pleno plan de capex de 220.000 millones de dólares
Según los investigadores, una simple instrucción en lenguaje natural bastó para que un agente de Bedrock entregara sus credenciales activas de la nube, y la corrección definitiva llegó nueve meses después del primer aviso. El mismo día, el consejero delegado de AWS, Matt Garman, defendió el plan de gasto que sostiene la plataforma.
Vincent Jiang · 3 min read
Un prompt, toda la cuenta
El 8 de octubre, Zenity Labs informó de que una simple instrucción en lenguaje natural había bastado para que un agente accesible al público entregara sus credenciales activas de la nube, que los investigadores exportaron y comprobaron que funcionaban fuera de AWS+1.78% — AWS, up 1.78 percent today 12. El rol predeterminado asociado a AgentCore, el servicio gestionado de agentes de Amazon, les permitía además copiar el código fuente de todos los agentes de una misma cuenta y región de AWS, leer las conversaciones privadas de los usuarios, extraer secretos e implantar recuerdos que sobrevivían al chat 2. Zenity afirma no haber visto indicios de que el fallo se haya explotado en el mundo real 3.
Unit 42 ya había informado, el 18 de septiembre, de que la herramienta de shell integrada en AgentCore se ejecuta por defecto como root, en el mismo espacio de memoria en el que las credenciales se resuelven en texto plano: «Es el estado de fábrica» 1. El director de investigación de Zenity, Tamir Ishay Sharbat, calificó de «ridículamente fácil» hacerse con las credenciales en la conferencia SecTor de Toronto 3.
AWS remite a la documentación
Un portavoz afirmó que la investigación «describe de forma inexacta como vulnerabilidad un comportamiento esperado y documentado», y que un agente solo accede a recursos de otra cuenta cuando el desarrollador concedió permisos en ambos lados 1. AWS cerró el informe de septiembre de Unit 42 como informativo 1.
El calendario es la parte más incómoda. Zenity denunció la vía de acceso a las credenciales el 25 de diciembre de 2025 y el amplio rol predeterminado el 12 de enero; AWS pasó a los agentes nuevos a IMDSv2 en exclusiva el 14 de febrero, cerró en abril como informativo el informe sobre los metadatos, dejó el rol predeterminado sin cambios en junio y no lo limitó hasta el 29 de septiembre 2. No se emitió ningún CVE 2.
La mayoría de los inquilinos nunca reescribe los valores por defecto
En el modelo de responsabilidad compartida, arreglar el sandbox es cosa de Amazon y reescribir los valores por defecto, del inquilino; la mayoría nunca lo hará, a juicio del analista de Info-Tech Fred Chagnon 1. La auditoría que queda es la lista de comprobación del consultor Justin Greis: qué identidad utiliza el agente, a qué puede acceder, qué puede cambiar y recordar, y qué ocurre si lo comprometen 1.
Una apuesta de 220.000 millones de dólares por la misma plataforma
Ese mismo día, el consejero delegado de AWS, Matt Garman, contó en el pódcast de a16z que la compañía prevé unos 220.000 millones de dólares de gasto de capital para 2026, con una facturación que crece al 37%, sin que ningún cliente supere una cuota de un solo dígito y con unos ingresos de Bedrock que crecen un 170% trimestre a trimestre en algunos periodos 4.
El capex trimestral de Amazon casi se ha quintuplicado en tres años
Data
| Gasto de capital | |
|---|---|
| T3 '23 | $11.3B |
| T4 '23 | $13.35B |
| T1 '24 | $13.94B |
| T2 '24 | $16.39B |
| T3 '24 | $21.28B |
| T4 '24 | $26.05B |
| T1 '25 | $24.26B |
| T2 '25 | $31.37B |
| T3 '25 | $34.23B |
| T4 '25 | $38.47B |
| T1 '26 | $43.23B |
| T2 '26 | $53.08B |
Los documentos de Amazon ante la SEC sitúan el gasto de capital consolidado en 53.100 millones de dólares en el trimestre de junio, casi cinco veces el ritmo del tercer trimestre de 2023 5.
Los rivales se mudan a los mismos valores por defecto
La demanda ya está contratada, según el relato de Garman: la tasa anualizada de ingresos de IA (run rate) superó los 15.000 millones de dólares en el primer trimestre y llegaba a los 25.000 millones a principios de agosto, con la capacidad comprometida hasta 2028 y Trainium agotado 46. Los agentes de OpenAI$1.18T — OpenAI, private, latest valuation $1.18T se convirtieron en septiembre en los inquilinos más recientes: se ejecutan sobre AgentCore, dentro de los permisos de AWS ya existentes de los clientes, y con Salesforce+0.27% — Salesforce, up 0.27 percent today mencionada como cliente 78.
Cloudflare corrigió ese mismo mes una filtración comparable entre inquilinos, señal de que el fallo de aislamiento es un patrón de toda la industria 9. Los agentes de OpenAI llegarán a la disponibilidad general en re:Invent, en diciembre 8; hasta entonces, a los inquilinos les quedan unas semanas para auditar los roles de ejecución. Amazon está gastando 220.000 millones de dólares en hacer autónomos a los agentes, y la letra pequeña dice que el daño corre por cuenta del inquilino 14.
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
