AWS Security Agent podľa interného testu zneužil 33 zo 37 nedávnych CVE
AWS uvádza, že jeho Security Agent v izolovanom teste po internom audite úspešne zneužil 33 z 37 nedávno zverejnených zraniteľností CVE. Dva pokusy pritom znefunkčnili testovaný cieľ.
AWS Security Agent podľa AWS v internom teste úspešne zneužil zamýšľanou cestou 33 z 37 nedávno zverejnených zraniteľností CVE. Výsledok 89,2 % firma zverejnila 15. októbra 2026 a agent je teraz súčasťou platformy AWS Continuum.
Test sa zameral na end-to-end postup: agent mal z nízkoprivilegovaného alebo neautentizovaného štartu nájsť spôsob zneužitia konkrétnej chyby a získať príznak potvrdzujúci úspech. AWS uvádza, že použilo model Claude Opus 5 a na každú vzorku stanovilo limit desať hodín.
AWS Security Agent testoval nedávne CVE
Vzorka zahŕňala 37 CVE z rokov 2025 a 2026 naprieč ôsmimi triedami chýb. Ciele neboli produkčné systémy, ale izolované kontajnerizované prostredia. V nich bežala zraniteľná verzia upstreamového softvéru alebo verná minimálna reprodukcia problému.
Agent na začiatku dostal URL, jednovetovú nápovedu a neautentizovaný alebo nízkoprivilegovaný prístup. AWS najprv zaznamenalo 35 získaných príznakov. Po kontrole však dva z týchto záchytov vyradilo, pretože agent príznak získal inou než zamýšľanou cestou. Finálny výsledok tak firma uvádza ako 33 úspechov zo 37 pokusov.
V ďalších dvoch prípadoch sa agent podľa AWS dostal až k zneužitiu zraniteľnosti, následne však cieľ znefunkčnil pred prečítaním príznaku. Tento detail ukazuje, že úspešné nájdenie exploitačnej cesty ešte nemusí znamenať bezpečne vykonaný celý testovací postup.
Iný typ hodnotenia než CyberGym-E2E
Nový výsledok sa netýka rovnakého typu úloh ako skorší benchmark CyberGym-E2E spájaný s AWS Continuum. Ten hodnotil postupy pri chybách memory-safety v kóde, zatiaľ čo aktuálny test sleduje reprodukciu a zneužitie nedávnych reálnych CVE v pripravených prostrediach.
Skóre preto nemožno priamo porovnávať s predchádzajúcim výsledkom 89 % v CyberGym-E2E. Líšia sa súbor úloh, cieľ hodnotenia aj metodika. AWS zároveň svoj benchmark opisuje ako priebežne dopĺňaný a metodicky navrhnutý tak, aby obmedzoval kontamináciu tréningových dát. Samotné toto tvrdenie však nedokazuje úplnú odolnosť voči zapamätaniu verejne dostupných exploitov.
Funkcie a hranice použitia
Dokumentácia AWS zaraďuje AWS Security Agent do AWS Continuum. Medzi uvádzané možnosti patrí autorizované penetračné testovanie, kontrola návrhu a integrácia s GitHubom.
Výsledok z interného benchmarku však nepotvrdzuje rovnakú mieru úspechu ani bezpečnosť pri testovaní produkčných systémov zákazníkov. Úplný verejný dataset, nezávislá reprodukcia ani audit trajektórií jednotlivých CVE zatiaľ neboli doložené. Relevantným obmedzením sú aj dva prípady, pri ktorých agent znefunkčnil testovaný cieľ.
Pri autonómnych nástrojoch schopných vytvoriť funkčný exploit z nízkoprivilegovaného štartu je preto podstatné presné vymedzenie autorizovaného rozsahu a ľudská kontrola. AWS má podľa svojho oznámenia pracovať na ochranných mechanizmoch proti deštruktívnemu zneužívaniu a na obnove stavu cieľa.
Čo bude dôležité sledovať
Ďalší obraz o možnostiach nástroja môžu priniesť technické podklady umožňujúce nezávislé overenie, výsledky na väčšej externe auditovanej množine aktuálnych CVE a podrobnosti o plánovaných ochranných opatreniach. AWS zatiaľ neuviedlo informácie o dostupnosti, cenách, regiónoch ani obmedzeniach penetračnej funkcie v rámci AWS Continuum.
Zdroje
- AWS Security Blog – Potvrdzuje dátum oznámenia, metodiku interného testu, výsledok 33 z 37 po audite, dve vyradené zachytenia, dva neúspechy po znefunkčnení cieľa a plánované ochranné opatrenia.
- AWS Documentation – Potvrdzuje, že AWS Security Agent je dokumentovaný ako súčasť AWS Continuum a opisuje jeho funkcie vrátane penetračného testovania.
Overené a aktualizované: 16. 10. 2026 06:20
