Vulnerabilidade no Modo Sandbox do AWS Bedrock AgentCore
Uma falha de segurança significativa foi identificada no AWS Bedrock AgentCore Code Interpreter, especificamente no modo de rede "Sandbox". Pesquisadores da BeyondTrust Phantom Labs descobriram que, apesar de ser documentado como fornecendo isolamento completo, o modo Sandbox permitia consultas DNS de saída, permitindo a criação de canais de comando e controle (C2) e exfiltração de dados sensíveis.
Descoberta e Escopo
O AWS Bedrock AgentCore Code Interpreter é um serviço gerenciado que permite que agentes de IA e chatbots executem código Python, JavaScript e shell em nome dos usuários. O serviço oferece três modos de rede: Public, VPC e Sandbox. O modo Sandbox foi originalmente documentado pela AWS como fornecendo "isolamento completo sem acesso externo".
Os pesquisadores confirmaram que consultas de registro DNS A e AAAA eram permitidas para egresso do sandbox livremente. Isso foi verificado usando o Interactsh, um servidor de teste fora de banda, que recebeu consultas DNS do interpretador de código dentro do sandbox, mesmo com a instância configurada sem acesso à rede. Essa única falha tornou o modelo de isolamento ineficaz.
Construindo um Reverse Shell via DNS
Os pesquisadores da Phantom Labs não apenas identificaram o vazamento de DNS, mas criaram um protocolo C2 bidirecional totalmente funcional via DNS para provar a gravidade da falha. Comandos eram entregues ao interpretador sandboxed via respostas de registro DNS A, onde cada octeto de endereço IP codificava caracteres ASCII de pedaços de comando base64.
A exfiltração de saída fluía na direção reversa, com o Code Interpreter incorporando resultados de comando codificados em base64 em consultas de subdomínio DNS, capturadas por uma instância EC2 controlada pelo atacante atuando como servidor de nomes. Isso forneceu um shell reverso totalmente interativo operando inteiramente via DNS, contornando completamente o isolamento de rede prometido pelo modo Sandbox.
Impacto e Riscos de IAM
O perigo do ataque é agravado porque as instâncias do Code Interpreter operam com uma função IAM atribuída. Os pesquisadores demonstraram que, através do shell DNS, poderiam executar comandos AWS CLI usando as credenciais IAM do interpretador para listar buckets S3, recuperar arquivos sensíveis, incluindo PII de clientes, credenciais de API e registros financeiros, tudo exfiltrado silenciosamente via DNS.
A função IAM padrão do AgentCore Starter Toolkit, conforme documentado no repositório de código aberto da AWS, concede permissões abrangentes, incluindo acesso total de leitura ao S3, acesso total ao DynamoDB e acesso irrestrito ao Secrets Manager, uma violação grave do princípio do privilégio mínimo.
Resposta da AWS
A BeyondTrust divulgou a vulnerabilidade de forma responsável à AWS via HackerOne em 1º de setembro de 2025, inicialmente classificada com CVSSv3 de 8.1, posteriormente revisada para 7.5. A AWS reproduziu e reconheceu o problema, implementou uma correção inicial em 1º de novembro de 2025, mas posteriormente a desfez.
Em 23 de dezembro de 2025, a AWS comunicou que nenhuma correção permanente seria emitida, atualizando a documentação para esclarecer que o modo Sandbox permite resolução DNS e recomendando que os clientes migrem para o modo VPC para isolamento verdadeiro. A AWS premiou o pesquisador com um cartão-presente de US$ 100 da AWS Gear Shop. A divulgação pública ocorreu em 16 de março de 2026.
Implicações para a Superfície de Ataque de IA
Esta vulnerabilidade intersecta perigosamente com a superfície de ataque de IA em expansão. Ataques de injeção de prompt podem servir como vetor inicial, com o canal C2 DNS atuando como mecanismo de exfiltração persistente. Pesquisas anteriores da Sonrai Security também demonstraram exfiltração de credenciais de sandboxes AgentCore via o Serviço de Metadados do microVM Firecracker, sublinhando um padrão mais amplo de fraquezas de isolamento na arquitetura do AgentCore.