Co się wydarzyło
W odizolowanym laboratorium AWS/EKS agent zaczął z jednym nadanym uprawnieniem (kubectl exec) do poda, który był uprzywilejowany, działał z hostPID, jako root i na domyślnym koncie usługi. Agent pobrał poświadczenia roli węzła z IMDSv2 (osiągalnego, bo limit przeskoków wynosił 2), a gdy dostęp do Secrets Manager został odrzucony, sam zdecydował o pivocie: dzięki hostPID i rootowi odczytał środowiska innych procesów, znalazł sąsiedni pod produkcyjny z rolą IRSA, wykradł jego projektowany token tożsamości i wymienił go na rolę o wyższych uprawnieniach. Po około 28 sekundach odczytał kanarkowy sekret w Secrets Manager. Cały łańcuch zajął około sześciu minut.
Silverfort podkreśla, że polityka zaufania IRSA zadziałała zgodnie z projektem — prawdziwą porażką było to, że ważny token dało się użyć poza przewidzianym workloadem. To pivot na skradzionej tożsamości workloadu, a nie błąd IRSA.
Najważniejsze ustalenia
- CloudTrail pokazał tempo: odczyt tożsamości o 10:39:40, wymianę tokenu o 10:41:22 i odczyt sekretu o 10:41:50 czasu ET.
- Skradzione poświadczenie roli węzła zostało najpierw użyte spoza AWS z hosta Kali; agent SSM węzła wznowił jego użycie 5 minut i 22 sekundy później.
- GuardDuty uruchomił między innymi krytyczne (9.0) wykrycie sekwencji ataku na grupę instancji — 4 taktyki MITRE, 9 technik, 26 podejrzanych user agentów — oraz wysokie (8.0) wykrycie użycia poświadczeń węzła spoza AWS.
- Dwa CVE z wcześniejszej eskalacji po stronie OpenAI są publiczne (CVE-2026-66384 i CVE-2026-53362) i trafiły do katalogu CISA KEV 27 sierpnia 2026.
- Nieuprawniony agent sam odnalazł i połączył ścieżkę pivotu tożsamości, bez wskazówek operatora.