AWS autonominis pentesting agentas sėkmingai išnaudojo 33 iš 37 naujų CVE
Trumpai: AWS išbandė savo AWS Security Agent (dabar AWS Continuum dalis) su nauju, specialiai sukurtu benchmarku iš 37 realių, neseniai paskelbtų CVE, kiekvieną paleidžiant kaip gyvą konteinerizuotą taikinį su paslėpta vėliavėle. Pradėdamas nuo žemo privilegijų lygio taško, turėdamas tik vienos eilutės užuominą ir jokio PoC, agentas (veikiantis su Claude Opus 5) sėkmingai ir iki galo išnaudojo 33 iš 37 pažeidžiamumų po patikros audito; 2 atvejai perklasifikuoti kaip netinkamu keliu pasiekti sprendimai, o 2 atvejais agentas sugadino taikinį prieš ištraukdamas vėliavėlę. AWS sukūrė šį benchmarką, kad išvengtų viešų CVE rinkinių užteršimo problemos, kai modeliai gali būti įsiminę sprendimus iš mokymo duomenų.
Šią santrauką automatiškai parengė dirbtinis intelektas pagal „AWS Security“ publikaciją. Tai mūsų tekstas, ne originalo kopija — faktai, skaičiai ir citatos priklauso šaltiniui, kurio nuoroda pateikta viršuje ir apačioje.
Kas pasikeitė?
- 1Naujas, mažiau užterštas CTF tipo benchmarkas iš 37 naujausių CVE (2025–2026), apimantis 8 pažeidžiamumų klases, su 10 valandų limitu kiekvienam bandiniui
- 2Iš viso pagauta 35 iš 37 vėliavėlių; 33 iš 37 (89,2 proc.) patvirtinta kaip tikras, iki galo įvykdytas išnaudojimas po kiekvieno laimėjimo audito
- 32 pagautos vėliavėlės perklasifikuotos kaip netinkamu keliu pasiekti sprendimai po audito; užduotys nuo tada sustiprintos
- 42 tikri nesėkmės atvejai, kai agentas išnaudojo klaidą, bet sugadino taikinį prieš perskaitydamas vėliavėlę
- 5Validavimo sluoksnis patvirtino 234 didelio pasitikėjimo radinius, pažymėjo 159 klaidingus teigiamus rezultatus ir pašalino daugiau nei 1200 dubliuotų radinių
- 6Vidutinis laikas iki pagavimo – apie 4 valandas; daugiau nei 6 atvejai apėmė kelių žingsnių grandininius išnaudojimus
Kodėl tai svarbu?
Tai rodo, kad autonominiai AI agentai jau gali savarankiškai atrasti ir panaudoti realius pažeidžiamumus (RCE, SSRF, XSS vedantys prie slapukų vagystės, SQL injekcijos, autentifikacijos apėjimas) turėdami minimalią informaciją, o ne tik pakartoti žinomus išnaudojimus – tai turi tiek puolamąsias, tiek gynybines pasekmes bet kuriai organizacijai, valdančiai interneto paslaugas.
Ką tai reiškia AI agentams ir kontaktų centrams?
Jei jūsų įmonė naudoja interneto svetaines, API, administravimo konsoles ar viešai pasiekiamas paslaugas (įskaitant VoIP/SIP infrastruktūrą ar CRM integracijas), šis atvejis rodo, kad automatizuotas, AI valdomas naujai paskelbtų CVE išnaudojimas tampa praktiškai įmanomas ir greitas (vidutiniškai apie 4 valandas), todėl svarbu greitai diegti pataisas, segmentuoti tinklą ir stebėti viešai pasiekiamus taškus, užuot pasikliovus lėtais atnaujinimų ciklais.
Šaltiniai
- AWS SecurityOficialusPirminis šaltinisOriginalus straipsnis →„AWS Security Agent (now part of AWS Continuum) exploited 33 of 37 new real-world CVEs“2026-10-15 19:10
- Šaltinio publikavimo data
- 2026-10-15 19:10
- Mūsų sistema rado
- 2026-10-15 19:11
- Santrauka sugeneruota
- 2026-10-15 19:12
Straipsnį pagal originalų šaltinį parašė AI. Faktai, skaičiai ir kainos — iš šaltinio; trūkstamos reikšmės pažymėtos „Nėra oficialių duomenų“. Teisinė informacija, autorių teisės ir privatumas