AWS - Bedrock Post Exploitation

Tip

Leer & oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Leer & oefen GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Leer & oefen Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Ondersteun HackTricks

• Kyk na die subscription plans!
• Sluit aan by die 💬 Discord group of die telegram group of volg ons op Twitter 🐦 @hacktricks_live.
• Deel hacking tricks deur PRs in te dien by die HackTricks en HackTricks Cloud github repos.

AWS - Bedrock Agents Memory Poisoning (Indirect Prompt Injection)

Overview

Amazon Bedrock Agents with Memory kan opsommings van vorige sessies behou en dit in toekomstige orkestrasie‑prompts inprop as stelselinstruksies. As onbetroubare tooluitsette (byvoorbeeld inhoud wat van eksterne webblaaie, lêers, of third‑party APIs opgehaal is) sonder sanitasië in die invoer van die Memory Summarization‑stap ingesluit word, kan ’n aanvaller langtermyn Memory vergiftig deur middel van indirect prompt injection. Die vergiftigde Memory bevoordeel dan die agent se beplanning oor toekomstige sessies en kan heimlike aksies soos stille data exfiltration aandryf.

Dit is nie ’n kwesbaarheid in die Bedrock‑platform self nie; dit is ’n klas agent‑risiko wanneer onbetroubare inhoud in prompts vloei wat later hoë‑prioriteits stelselinstruksies word.

How Bedrock Agents Memory works

• Wanneer Memory geaktiveer is, som die agent elke sessie op aan die einde van die sessie deur ’n Memory Summarization prompt‑sjabloon te gebruik en stoor daardie opsomming vir ’n konfigureerbare retensie (tot 365 dae). In latere sessies word daardie opsomming in die orkestrasie‑prompt ingevoeg as stelselinstruksies wat gedrag sterk beïnvloed.
• Die verstek Memory Summarization‑sjabloon bevat blokke soos:
• <previous_summaries>$past_conversation_summary$</previous_summaries>
• <conversation>$conversation$</conversation>
• Riglyne vereis streng, goed‑geformeerde XML en onderwerpe soos “user goals” en “assistant actions”.
• As ’n tool onbetroubare eksterne data haal en daardie rou inhoud in $conversation$ ingevoer word (spesifiek die tool se result‑veld), kan die summarizer LLM beïnvloed word deur aanvaller‑beheerde opmaak en instruksies.

Attack surface and preconditions

An agent is exposed if all are true:

• Memory is geaktiveer en opsommings word weer in orkestrasie‑prompts ingespuit.
• Die agent het ’n tool wat onbetroubare inhoud inneem (web browser/scraper, document loader, third‑party API, user‑generated content) en die rou resultaat in die summarization prompt se <conversation> blok inbring.
• Guardrails of sanitasie van delimiter‑agtige tokens in tooluitsette word nie afgedwing nie.

Injection point and boundary‑escape technique

• Presiese inspuitingspunt: die tool se resultaatteks wat binne die Memory Summarization prompt se <conversation> ... $conversation$ ... </conversation> blok geplaas word.
• Grensonsnapping: ’n 3‑deel payload gebruik vervalste XML‑delimiters om die summarizer te mislei om aanvallerinhoud te behandel asof dit sjabloonvlak stelselinstruksies is in plaas van gesprekinhoud.
• Deel 1: Eindig met ’n vervalste </conversation> om die LLM te oortuig dat die conversation‑blok geëindig het.
• Deel 2: Geplaas “buite” enige <conversation> blok; geformateer om te lyk soos sjabloon-/stelselvlak instruksies en bevat die kwaadwillige riglyne wat waarskynlik onder ’n onderwerp in die finale opsomming gekopieer sal word.
• Deel 3: Heropen met ’n vervalste <conversation>, opsioneel ’n klein user/assistant‑uitruiling vervaardig wat die kwaadwillige riglyn versterk om insluiting in die opsomming te verhoog.