חולשה בכלי הסביבה של Strands Agents Tools אפשרה לתוכן זדוני לשכנע סוכן AI לבטל את הסתרת הסודות ולהחזיר משתני סביבה בטקסט גלוי. לפי התראת AWS, הפגיעה CVE-2026-115415 עלולה לחשוף הרשאות ענן, מפתחות API וסודות נוספים בלי לבקש אישור מהמפעיל.
מה קרה?
Strands Agents Tools היא חבילת Python בקוד פתוח שמספקת כלים מוכנים ל-Strands Agents SDK. אחד הכלים מאפשר לסוכן לקרוא, להגדיר ולמחוק משתני סביבה במחשב המארח. ערכים שנראים כמו סודות אמורים להיות מוסתרים כברירת מחדל.
אלא שפרמטר ההסתרה נכלל ב-Tool Schema שהיה חשוף למודל השפה. Prompt זדוני שהגיע דרך מסמך, אתר או תוכן אחר שהסוכן התבקש לעבד יכול היה להורות למודל לקרוא לכלי כאשר ההסתרה כבויה. במקרה כזה משתני הסביבה הוחזרו לסוכן ללא Masking, לרבות Credentials ומפתחות API.
אילו גרסאות מושפעות?
הטווח הפגיע הוא strands-agents-tools מגרסה 0.1.0 ועד לפני 0.8.6. בגרסה 0.8.6 השליטה בהסתרה הועברה למפעיל בלבד, והמודל אינו יכול עוד לבטל אותה. כלי הסביבה עצמו הוצא משימוש והוגדר Deprecated.
למה זו בעיה רחבה יותר מ-Prompt Injection רגיל?
Prompt Injection הופך למסוכן במיוחד כאשר לסוכן יש כלי בעל הרשאות גבוהות. כאן לא נדרש מהתוקף לפרוץ ישירות למארח: מספיק שתוכן שאינו מהימן ישפיע על החלטת המודל, והכלי הלגיטימי עלול לחשוף סודות מתוך סביבת התהליך. אם לסוכן יש גם גישה לרשת, המידע יכול להישלח לשירות חיצוני.
האירוע ממחיש כלל חשוב בתכנון סוכנים: פרמטרי אבטחה אינם צריכים להיות בשליטת המודל. החלטות כמו הסתרת סודות, אישור פעולות, Allowed Destinations והרשאות קבצים חייבות להיאכף מחוץ ל-LLM.
מה צריך לעשות עכשיו?
- לעדכן מיד לגרסה 0.8.6 ומעלה ולבדוק שגם Forks או קוד נגזר כוללים את התיקון.
- להסיר את Environment Tool מסוכנים שלא חייבים לקרוא משתני סביבה.
- לסובב Credentials שהיו בסביבת תהליכים של סוכנים שטענו את הכלי הפגיע.
- להעדיף Credentials קצרי חיים והרשאות מינימליות על פני מפתחות קבועים.
- להגביל תעבורה יוצאת מהמארח ליעדים מאושרים בלבד, כדי לצמצם אפשרות Exfiltration.
- לחקור לוגים של Tool Calls, שימוש חריג בכלי הסביבה וחיבורים יוצאים לא מוכרים.
בדיקה ארגונית מומלצת
צוותי AppSec ו-SOC צריכים למפות אילו סוכנים מעבדים תוכן חיצוני, אילו כלים הם רשאים להפעיל ומה נמצא ב-Environment שלהם. חשוב במיוחד לבדוק סוכנים שמנתחים Tickets, קוד, מסמכים או אתרים, משום שאלה ערוצי כניסה טבעיים ל-Prompt Injection.
מקור: AWS Security Bulletin 2026-154, 28 באוקטובר 2026.
צילום: Vladimir Srajber / Pexels. דף המקור. רישיון Pexels מתיר שימוש באתר, בסושיאל ובשיווק.
