AWS Security - AI
15 oct. 2026
News
AWS Security Agent a exploité de bout en bout 33 des 37 CVE récentes d'un benchmark interne d'AWS.
Le taux de réussite de bout en bout est de 89,2 %, confirmé par un audit d'intégrité de chaque capture.
L'agent partait d'une URL et d'un indice d'une ligne, sans exploit ni PoC, avec une limite de 10 heures par cible.
Dans les deux échecs, l'agent a trouvé et exploité la faille, puis a fait tomber la cible avant de lire le flag.
Le validateur a étiqueté 159 faux positifs de l'agent et rejeté 1 202 doublons.
Lire l'article original
AWS Security Agent (now part of AWS Continuum) exploited 33 of 37 new real-world CVEs
aws.amazon.com
Cloud Security Alliance
15 oct. 2026
News
Badal Bhushan propose un modèle d'autorisation à deux portes pour les outils MCP exposés aux agents.
La première porte décide si une capacité doit être disponible pour un agent donné.
La seconde porte autorise ou non un usage précis de l'outil contre une ressource précise, selon l'identité et le contexte.
Filtrer tools/list réduit le risque mais n'est pas une autorisation, selon l'auteur.
Un prompt système n'est pas un mécanisme de contrôle d'accès : un contrôle déterministe hors du modèle doit trancher.
Lire l'article original
MCP Tool Exposure is a Privilege Grant: A Two-Gate Authorization Model for Agentic AI
cloudsecurityalliance.org
