何が起きたか
AWSは（セキュリティ速報2026-072-AWS、2026年8月3日公開）Amazon の オープンソース Strands Agents SDK に同梱されるシェルツールのプロンプトインジェクション脆弱性を公開しました。ツールのスキーマに露出し、したがってLLM制御可能な non_interactive パラメータは、巧妙に作成されたプロンプトによってシェルコマンド実行前の強制的なヒューマンコンセントダイアログをスキップするように設定でき、エージェントのコンテキストにテキストを注入できる攻撃者にエージェントホスト上の完全なOSコマンド実行へのパスを与えます。
なぜ重要か
Strands Agents は AWS 独自のエージェント SDK で、Amazon Q Developer、AWS Glue、およびその他のエージェント的ワークフローなどのツールで本番環境で使用されています。ヒューマン承認ゲートのシェル実行バイパスは、典型的なエージェント実行攻撃クラス（間接プロンプトインジェクション→ツール悪用→RCE）であり、CVSS 8.8 および既知で広くデプロイされたターゲットです。
攻撃経路
巧妙に作成されたプロンプト（エージェントが読み取る信頼されないコンテンツを介した間接プロンプトインジェクションを含む）は、シェルツールの non_interactive パラメータを true に設定し、OSコマンド実行を承認するために設計されたヒューマンインザループコンセントゲートをバイパスします。これにより、リモート攻撃者はエージェントにヒューマン承認ステップなしでホスト上の任意のオペレーティングシステムコマンドを実行させることができます。
影響を受けるシステム
Amazon Strands Agents Tools (strands-agents-tools) < 0.8.0
緩和策
strands-agents-tools 0.8.0 以降にアップグレードしてください。パッチが適用されるまで、信頼されないコンテンツを処理するエージェントのシェルツールを無効にするか、帯域外承認を強制してください。