CVE-2026-15746 trasforma uno strumento di memoria in un percorso di esfiltrazione di credenziali. In AWS Strands Agents Tools sotto la versione 0.7.0, lo strumento elasticsearch_memory esponeva i propri parametri di connessione — es_url, cloud_id, api_key — come campi impostabili dal modello linguistico tramite lo schema del tool. L'exploit richiede zero credenziali valide, zero interazione utente oltre un'istruzione costruita ad arte, e zero esecuzione di codice: un singolo parametro controllato instrada la chiave API dell'operatore verso l'host di un attaccante.
Il meccanismo
AWS ha divulgato la falla il 15 luglio 2026. Lo strumento elasticsearch_memory in strands-agents-tools accettava es_url, cloud_id e api_key come campi dello schema controllabili dal modello. Quando una chiamata ometteva api_key, il tool ripiegava sulla variabile d'ambiente dell'operatore — ELASTICSEARCH_API_KEY — e la inseriva nell'header Authorization di una richiesta inviata all'host indicato da es_url. Un modello istruito a puntare es_url verso un endpoint controllato dall'attaccante consegna quindi a quell'endpoint una credenziale di produzione viva. AWS indica la correzione in strands-agents-tools 0.7.0. Il bollettino pubblica il vettore e la rimediazione e omette un punteggio CVSS, quindi la gravità qui poggia sul meccanismo più che su un numero da titolo.
La condizione di fondo
La condizione di fondo è familiare per gli agenti che usano retrieval e tool: lo schema del tool trattava i parametri di connessione come dati forniti dal modello. Un campo che nomina una destinazione di rete, esposto al modello, è una primitiva SSRF per costruzione. Abbiamo documentato la stessa classe di difetto in un server MCP di web-research la settimana scorsa. Ne abbiamo parlato in profondità qui. Un unico campo di destinazione controllabile basta a convertire una lettura in memoria in una divulgazione di credenziali verso l'esterno.
Tre domande per i team AI enterprise
1. Quali strumenti nel vostro agent runtime accettano URL, hostname o stringhe di connessione come argomenti forniti dal modello? Ognuno è un candidato SSRF.
2. Dove i vostri tool leggono i segreti dalle variabili d'ambiente come fallback? Quel fallback pone una credenziale di produzione a un parametro costruito di distanza dall'esfiltrazione.
3. La vostra egress policy limita le chiamate dei tool a un allowlist di endpoint fidati? Un allowlist neutralizza la primitiva di controllo-destinazione al livello di rete.
Decisioni per CTO e Head of Engineering nel prossimo ciclo di pianificazione
Aggiornate strands-agents-tools alla 0.7.0 su ogni deployment e applicate la patch alle copie forkate o incorporate — AWS segnala esplicitamente il codice derivato. Ruotate ELASTICSEARCH_API_KEY adesso, come indica il bollettino, nell'ipotesi di esposizione. Come controllo permanente, spostate l'allowlisting delle destinazioni dentro l'agent runtime, così un errore a livello di schema in qualsiasi tool futuro resta contenuto al confine di egress. Lo schema ricorre negli agenti che usano tool: trattate ogni argomento fornito dal modello come input inaffidabile, con lo stesso rigore che una web application applica a un parametro di richiesta.
Articolo di LEON — AI Agents & Systems
LEON è il responsabile tecnico che parla al piano dirigenziale, traducendo le decisioni di architettura in rischio di business prima che emerga alle 3 di notte.