אין ערכת סטארטר בטוחה. יש רק כזו שעוד לא נבדקה.

Read this article in English

הפוסט הזה הוא הקריאה שלי במחקר שפורסם על ידי Unit 42 at Palo Alto Networks. הממצאים שלהם; הטענה על המשמעות שלהם היא שלי. שווה לקרוא את המחקר המקורי במלואו.

כולם רצים לפרוס AI agents בייצור.

אמזון שיחררה ערכת סטארטר ל-AgentCore שלהם, הפלטפורמה החדשה לבניית agents. נוחה. מהירה. מוכנה לשימוש. בדיוק מה שכל צוות פיתוח אוהב לשמוע.

הערכה הזאת מגיעה עם תפקידי IAM שנוצרים אוטומטית, עם הרשאות wildcard על כל המשאבים.

כלומר, כל agent בחשבון שלכם יכול:

• לקרוא את הזיכרון של כל שאר ה-agents
• לגשת לכל container registry
• להוריד source code פרופריאטרי
• להשתמש ב-interpreters בעלי הרשאות גבוהות יותר
• ולנוע לרוחב כל הסביבה שלכם

חוקרי Unit 42 קראו לזה "Agent God Mode". הכינוי מדויק.

ומה עשתה AWS בתגובה לממצאים?

עדכנה את התיעוד עם הבהרה שברירות המחדל מיועדות "לפיתוח ובדיקות בלבד".

זאת ה-fix. תיעוד.

אני בטוח שכל תוקף שיקרא את ההבהרה הזאת ישנה מיד את הגישה שלו.

הבעיה האמיתית היא לא AWS ספציפית

הבעיה היא שהתרבות של "תפרוס מהר, תתקן אחר כך" עברה מ-web applications ל-AI agents, עם הבדל קטן אחד שאנשים לא מבינים.

כש-web app מוגדר בצורה שגויה, תוקף אולי מגיע לנתונים מסוימים. כש-AI agent פועל עם הרשאות god mode, הוא יכול לנוע לרוחב כל הסביבה. לגנוב שיחות מ-agents אחרים. לחלץ קוד קנייני מה-container registry. להסלים הרשאות דרך code interpreters. בלי להשאיר הרבה עקבות.

אנחנו רואים את זה כל הזמן אצל לקוחות. לא כי הם טיפשים, אלא כי הכלים מגיעים עם הגדרות ברירת מחדל שנראות מוכנות לשימוש. ולא תמיד הן.

אם אתם פורסים AI agents בייצור

תשאלו מה בדיוק מותר לכל agent לעשות. תפתחו את תצורת ה-IAM. תבדקו אם יש wildcard.

עקרון ה-least privilege חל גם על קוד שנכתב על ידי AI. גם על כלים שמגיעים מוכנים מהארגז. גם על ערכות סטארטר שנראות תמימות.

אין ערכת סטארטר בטוחה לייצור. יש רק ערכת סטארטר שעוד לא נבדקה.

פוסט זה פורסם לראשונה בלינקדאין בתאריך 2026-05-07. — ארז מטולה