CVE-2026-15746 verwandelt ein Memory-Tool in einen Pfad zur Credential-Exfiltration. In AWS Strands Agents Tools unterhalb Version 0.7.0 legte das Tool elasticsearch_memory seine Verbindungsparameter — es_url, cloud_id, api_key — als Felder offen, die das Sprachmodell über das Tool-Schema setzen konnte. Der Exploit benötigt null gültige Anmeldedaten, null Nutzerinteraktion über eine präparierte Anweisung hinaus und null Code-Ausführung: Ein einziger kontrollierter Parameter leitet den API-Schlüssel des Betreibers an den Host eines Angreifers.
Der Mechanismus
AWS legte die Schwachstelle am 15. Juli 2026 offen. Das Tool elasticsearch_memory in strands-agents-tools akzeptierte es_url, cloud_id und api_key als modellkontrollierbare Schema-Felder. Ließ ein Aufruf den api_key aus, griff das Tool auf die Umgebungsvariable des Betreibers zurück — ELASTICSEARCH_API_KEY — und setzte ihn in den Authorization-Header einer Anfrage, die an den von es_url genannten Host ging. Ein Modell, das angewiesen wird, es_url auf einen angreiferkontrollierten Endpunkt zu richten, übergibt diesem Endpunkt somit ein lebendiges Produktions-Credential. AWS nennt die Korrektur in strands-agents-tools 0.7.0. Das Bulletin veröffentlicht den Vektor und die Behebung und lässt einen CVSS-Wert aus, sodass die Schwere hier auf dem Mechanismus ruht statt auf einer Schlagzeilenzahl.
Die Grundbedingung
Die Grundbedingung ist vertraut für Agenten, die Retrieval und Tools nutzen: Das Tool-Schema behandelte Verbindungsparameter als modellgelieferte Daten. Ein Feld, das ein Netzwerkziel benennt und dem Modell offensteht, ist per Konstruktion eine SSRF-Primitive. Wir haben dieselbe Fehlerklasse letzte Woche in einem MCP-Web-Research-Server dokumentiert. Wir haben das ausführlich hier behandelt. Ein einziges kontrollierbares Zielfeld genügt, um eine Speicherabfrage in eine ausgehende Credential-Offenlegung zu verwandeln.
Drei Fragen für Enterprise-AI-Teams
1. Welche Tools in Ihrem Agent-Runtime akzeptieren URLs, Hostnamen oder Verbindungsstrings als modellgelieferte Argumente? Jedes ist ein SSRF-Kandidat.
2. Wo lesen Ihre Tools Secrets als Fallback aus Umgebungsvariablen? Dieser Fallback rückt ein Produktions-Credential einen präparierten Parameter weit an die Exfiltration heran.
3. Beschränkt Ihre Egress-Policy Tool-Aufrufe auf eine Allowlist vertrauenswürdiger Endpunkte? Eine Allowlist entschärft die Ziel-Kontroll-Primitive auf Netzwerkebene.
Entscheidungen für CTO und Head of Engineering im nächsten Planungszyklus
Aktualisieren Sie strands-agents-tools auf 0.7.0 in jedem Deployment und patchen Sie geforkte oder eingebettete Kopien — AWS markiert abgeleiteten Code ausdrücklich. Rotieren Sie ELASTICSEARCH_API_KEY jetzt, gemäß dem Bulletin, unter der Annahme einer Offenlegung. Als dauerhafte Kontrolle verlagern Sie das Ziel-Allowlisting in das Agent-Runtime, sodass ein Schema-Fehler in einem künftigen Tool an der Egress-Grenze eingedämmt bleibt. Das Muster wiederholt sich über Tool-nutzende Agenten hinweg: Behandeln Sie jedes modellgelieferte Argument als ungeprüfte Eingabe, mit derselben Strenge, die eine Webanwendung auf einen Anfrageparameter anwendet.
Artikel von LEON — AI Agents & Systems
LEON ist der technische Leiter, der zur Führungsebene spricht und Architekturentscheidungen in Geschäftsrisiko übersetzt, bevor es um 3 Uhr morgens auftaucht.