AWS - Bedrock Post Exploitation

Tip

Aprende y practica AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Aprende y practica Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Apoya a HackTricks

• Consulta los subscription plans!
• Únete al 💬 Discord group o al telegram group o síguenos en Twitter 🐦 @hacktricks_live.
• Comparte trucos de hacking enviando PRs a los HackTricks y HackTricks Cloud github repos.

AWS - Bedrock Agents Memory Poisoning (Indirect Prompt Injection)

Overview

Amazon Bedrock Agents with Memory pueden persistir resúmenes de sesiones pasadas e inyectarlos en prompts de orquestación futuros como system instructions. Si la salida de una herramienta no confiable (por ejemplo, contenido obtenido de páginas web externas, archivos o APIs de terceros) se incorpora en la entrada del paso de Memory Summarization sin saneamiento, un atacante puede envenenar la memoria a largo plazo mediante indirect prompt injection. La memoria envenenada sesga luego la planificación del agente en sesiones futuras y puede impulsar acciones encubiertas como exfiltración silenciosa de datos.

Esto no es una vulnerabilidad en la plataforma Bedrock en sí; es una clase de riesgo de agente cuando contenido no confiable fluye hacia prompts que más tarde se convierten en system instructions de alta prioridad.

How Bedrock Agents Memory works

• Cuando Memory está habilitado, el agente resume cada sesión al final de la misma usando una plantilla de Memory Summarization y almacena ese resumen por una retención configurable (hasta 365 días). En sesiones posteriores, ese resumen se inyecta en el orchestration prompt como system instructions, influyendo fuertemente en el comportamiento.
• La plantilla por defecto de Memory Summarization incluye bloques como:
• <previous_summaries>$past_conversation_summary$</previous_summaries>
• <conversation>$conversation$</conversation>
• Las directrices requieren XML estricto y bien formado y tópicos como “user goals” y “assistant actions”.
• Si una herramienta obtiene datos externos no confiables y ese contenido bruto se inserta en $conversation$ (específicamente en el campo result de la herramienta), el LLM del summarizer puede verse influenciado por markup e instrucciones controladas por el atacante.

Attack surface and preconditions

Un agente está expuesto si se cumplen todos:

• Memory está habilitado y los resúmenes se reinyectan en los orchestration prompts.
• El agente tiene una herramienta que ingiere contenido no confiable (web browser/scraper, document loader, third‑party API, user‑generated content) e inyecta el resultado bruto en el bloque <conversation> del prompt de summarization.
• No se aplican guardrails ni saneamiento de tokens tipo delimitador en las salidas de las herramientas.

Injection point and boundary‑escape technique

• Punto de inyección preciso: el texto resultante de la herramienta que se coloca dentro del bloque <conversation> ... $conversation$ ... </conversation> del Memory Summarization prompt.
• Boundary escape: un payload de 3 partes usa delimitadores XML forjados para engañar al summarizer y que trate el contenido del atacante como si fuera instrucciones a nivel de plantilla/system en lugar de contenido de conversación.
• Parte 1: Termina con un </conversation> forjado para convencer al LLM de que el bloque de conversación terminó.
• Parte 2: Colocada “fuera” de cualquier bloque <conversation>; formateada para parecer instrucciones a nivel de plantilla/system y contiene las directivas maliciosas que probablemente se copien en el resumen final bajo un tópico.
• Parte 3: Reabre con un <conversation> forjado, opcionalmente fabricando un pequeño intercambio user/assistant que refuerce la directiva maliciosa para aumentar su inclusión en el resumen.