Die Schwachstelle liegt in der unzureichenden Prüfung von Eingaben innerhalb der Harness-Komponente von Amazon Bedrock AgentCore. Angreifer, die bereits über gültige Zugangsdaten verfügen, können aus der Ferne speziell präparierte Inhaltsblöcke in Konversationsnachrichten einschleusen. Dadurch lassen sich die im System hinterlegten Werkzeuge (Tools) direkt aufrufen, ohne dass zuvor das Sprachmodell einbezogen wird. Damit werden genau jene Kontrollmechanismen umgangen, die normalerweise im Rahmen der Modellabfrage greifen und darüber entscheiden, welche Aktionen zulässig sind. Ein Angreifer kann auf diesem Weg Funktionen auslösen, die ihm eigentlich nicht offenstehen sollten. Der Anbieter hat das Problem auf seiner Seite behoben; ein Eingreifen der Kundinnen und Kunden ist dafür nicht erforderlich.