Una cifra en reposo y en tránsito no sirve de nada si, en el momento de usarla, la credencial queda en texto plano en la memoria de un proceso que el agente puede leer. Unit 42 lo demostró en AWS AgentCore Harness, y AWS decidió que la responsabilidad es del cliente.
Según el reporte de Unit 42 (Palo Alto Networks), con la configuración por defecto de AgentCore Harness una inyección de prompt indirecta puede terminar en robo de credenciales en texto plano gestionadas por AgentCore Identity. Un solo ticket de soporte con instrucciones ocultas bastó para que el agente ejecutara un comando de shell, leyera la memoria del proceso del harness, localizara un JWT activo y lo enviara a un endpoint del atacante, como también resume el resumen de Cloud Security Alliance.
La raíz es de diseño: las herramientas shell y file_operations están disponibles en cada sesión salvo que se restrinjan con allowedTools, se ejecutan como root, y comparten espacio de memoria con el proceso que descifra las credenciales del vault.
Unit 42 reportó el hallazgo por HackerOne el 19 de mayo de 2026. AWS aclaró el alcance entre el 8 y el 10 de junio y cerró el reporte como "informativo" bajo el modelo de responsabilidad compartida de AgentCore: no hubo parche ni CVE, y se señalaron controles configurables por el cliente.
allowedTools al invocar, dejando solo las herramientas necesarias; (2) aplicar mínimo privilegio a las cuentas de servicio del vault de Identity para las integraciones posteriores; (3) monitorear el tráfico de salida de los contenedores del harness. Añadiría una cuarta: si un agente lee contenido de terceros, no le des shell. La lección general es que "el proveedor cifra las credenciales" no equivale a "el agente no puede leerlas": revisa los valores por defecto de cada plataforma de agentes antes de producción.Carlos Montiel es arquitecto de soluciones IA empresarial. Implementa LLMs, Agentes, RAG y orquestadores en empresas de Guatemala y Latinoamérica. Contáctalo para una consultoría.
Contactar a Carlos Montiel