Bartek Chojnacki

Amazon S3 buckets z zbyt szerokim dostępem to klasyk security fail'a – i często nikt tego nie zauważa, aż do problemu. Artykuł pokazuje, jak znaleźć i zlikwidować over-permissioned buckety w swoim AWS environment, żeby dane zostały tam, gdzie powinny.

AWS uprościł konfigurację multi-Region dla nowych instancji IAM Identity Center - teraz wystarczy jeden klik zamiast ręcznego tworzenia KMS key i dodawania regionów. Nowa opcja automatycznie replikuje instancję do dodatkowego regionu, zapewniając ciągłość dostępu do AWS accounts nawet przy awarii w głównym regionie.

Amazon Cognito jest teraz dostępny jako skill w Agent Toolkit for AWS, co pozwala AI coding agentom na automatyczne ustawianie i konfigurowanie bezpiecznych przepływów logowania. Nowa funkcjonalność obejmuje obsługę user pools, OAuth 2.0, tokenów JWT, passkeys i threat protection - wszystko z wbudowanymi best practices i auditowaniem przez CloudTrail.

W pakiecie strands-agents-tools (wersje poniżej 0.8.3) znaleziono lukę IDOR w narzędziach do przechowywania pamięci agentów. Zagrożenie pozwala uwierzytelnionemu użytkownikowi na odczyt, modyfikację lub usunięcie danych należących do innych dzierżawców poprzez manipulację parametrem namespace kontrolowanym przez LLM.

Amazon DocumentDB MCP Server poniżej wersji 1.0.12 ma problem z autoryzacją w pipeline'ach agregacji. Uwierzytelniony klient MCP może obejść tryb read-only i wykonać operacje zapisu na bazie danych za pomocą etapów $out i $merge. Trzeba zaktualizować do wersji 1.0.12 lub nowszej.

AWS WAF teraz wspiera managed rule group od Salt Security dostępny przez AWS Marketplace, który chroni przed atakami na API, agentami AI i endpointami MCP bez pisania custom reguł. Reguły wykrywają brute force'a na credentials, excessive GraphQL queries, SSRF, prototype pollution i anomalie JWT, a także blokują nieautoryzowany dostęp MCP i dodają observability do interakcji z protokołem.

AWS Transform MCP Server (wersje 0.1.0–0.1.4) ma poważną lukę w narzędziu get_resource, która pozwala na zapisanie plików poza zamierzonym katalogiem przez parametr savePath. To może prowadzić do wykonania kodu na lokalnej maszynie. Jeśli używasz tego serwera, zaktualizuj go do wersji 0.1.5 lub nowszej – to nie opcjonalne.

AWS Lambda teraz skaluje przepustowość sieci dla funkcji poza VPC-iem. Jeśli masz 2 GB RAM lub więcej, bandwidth rośnie proporcjonalnie od 625 Mbps (2 GB) aż do 3000 Mbps (10 GB). To game changer dla workloadów wrażliwych na opóźnienia, które muszą przesyłać duże ilości danych. Funkcja jest dostępna za darmo we wszystkich komercyjnych regionach AWS, wystarczy włączyć ją przez Service Quotas.

AWS ogłosił ogólną dostępność vector search dla Amazon DynamoDB – teraz możesz indeksować i przeszukiwać wektory w czasie rzeczywistym z opóźnieniem poniżej 10 ms i recall powyżej 99%, nawet dla bilionów wektorów. Embeddingi przechowujesz obok zwykłych danych, generujesz je dowolnym modelem (w tym z Amazon Bedrock), a potem robisz approximate nearest neighbor searches z filtrowaniem atrybutów. To otwiera drzwi do semantic retrieval dla AI agentów, rekomendacji, personalizacji reklam i RAG – wszystko bez zarządzania infrastrukturą, z pay-as-you-go.