cloud-audit

English | 简体中文

Что может достичь угнанный ИИ-агент в вашем AWS-аккунте и можете ли вы это доказать?

Opensource, доступный только для чтения AWS-сканер безопасности. 110 проверок, 64 метода повышения привилегий IAM, 31 правило цепочки атак, радиус поражения для любого ресурса и agent-blast для Bedrock Agents и AgentCore: чего может достичь агент с подменённым промптом или украденными учётными данными, с симулятором политик IAM в качестве свидетеля. Каждое находка сопровождается исправлением через AWS CLI + Terraform. Ничего не записывается в ваш аккаунт.

30-секундная демонстрация - agent-blast - Полное сканирование - Что внутри - Режим доказательства - Установка - Документация

Тридцать секунд, AWS-аккаунт не нужен

pip install cloud-audit

cloud-audit agent-blast --demo          # a hijacked Bedrock Agent, two threat models, one screen
cloud-audit demo --save demo.json       # a full sample scan, then explore it offline:
cloud-audit blast-radius --report demo.json --resource arn:aws:iam::123456789012:role/support-bot-ticket-role
cloud-audit simulate     --report demo.json --fix aws-iam-018
cloud-audit exposure     --report demo.json

Примерный аккаунт вымышлен. Всё, что из него выводится (цепочки атак, корневые причины, стоимость взлома, граф безопасности, доступность агентов), генерируется теми же движками, что и реальное сканирование.

С учётными данными реальное сканирование — это одна команда, и только для чтения. Управляемая AWS политика SecurityAudit охватывает все проверки (разрешения):

cloud-audit scan                         # default profile and region
cloud-audit scan --verify                # plus IAM policy-simulator proof for escalation paths
cloud-audit agent-blast --verify         # then: what your agents can reach, simulator-confirmed

agent-blast: чего может достичь угнанный ИИ-агент

ИИ-агент в AWS — это набор идентификаторов IAM: роль, от имени которой работает агент, роли выполнения Lambda-функций, лежащих в основе его инструментов, роли его баз знаний, шлюзов и песочниц. Когда агент угнан, атакующий действует от этих идентификаторов. agent-blast отвечает на вопрос, что это означает для каждого агента в рамках двух моделей угроз:

Реальный вывод для примерного агента (cloud-audit agent-blast --demo -a support-bot):

support-bot (bedrock_agent, eu-central-1)
├── A hijacked tool (tool: create-ticket) can escalate to account admin via PassRole+Lambda
├── status: PREPARED
├── Identity takeover (attacker holds the role's credentials)
│   └── support-bot-agent-role arn:aws:iam::123456789012:role/support-bot-agent-role
│       └── no escalation path; 3 reach(es) from policy grants, 1 on named resources (see Reach)
│           (risk 0/100, 1 nodes)
├── Behaviour takeover (prompt injection: the agent's tools, their roles)
│   ├── search-docs action_group_lambda -> support-bot-search-role
│   │   ├── 3 OpenAPI path(s) in apiSchema; state ENABLED
│   │   └── no escalation path; 4 reach(es) from policy grants, 4 on named resources (see Reach)
│   ├── create-ticket action_group_lambda -> support-bot-ticket-role
│   │   ├── 2 function(s) in functionSchema; state ENABLED
│   │   ├── reaches Account Takeover in 1 hop(s) via PassRole+Lambda (risk 72/100)
│   │   └── escalation: PassRole+Lambda
│   └── product-docs knowledge_base -> support-bot-kb-role
│       ├── 1 S3 data source(s)
│       └── no escalation path; 2 reach(es) from policy grants, 2 on named resources (see Reach)
├── Reach (13 action/resource pairs)
│   ├── tool: search-docs secretsmanager:GetSecretValue on
│   │   arn:aws:secretsmanager:eu-central-1:123456789012:secret:prod/db-credentials-Ab12Cd
│   │   unverified read secret values
│   ├── tool: create-ticket sts:AssumeRole on arn:aws:iam::123456789012:role/ops-admin unverified
│   │   assume IAM roles
│   ├── tool: create-ticket lambda:InvokeFunction on * unverified invoke Lambda functions
│   ├── tool: search-docs s3:PutObject on arn:aws:s3:::company-backups-2024/* unverified write S3
│   │   objects
│   ├── support-bot-agent-role s3:GetObject on arn:aws:s3:::kb-product-docs/* unverified read the
│   │   agent's knowledge base
│   ├── tool: search-docs s3:GetObject on arn:aws:s3:::company-backups-2024/* unverified read S3
│   │   objects
│   ...
├── Tags
│   ├── OWASP Agentic: ASI02 Tool Misuse and Exploitation, ASI03 Identity and Privilege Abuse,
│   │   ASI05 Unexpected Code Execution
│   └── MITRE ATLAS: AML.T0034 Cost Harvesting, AML.T0040 AI Model Inference API Access, AML.T0053
│       AI Agent Tool Invocation, AML.T0086 Exfiltration via AI Agent Tool Invocation
└── Simulated, not executed: identity policies, the attached permissions boundary and SCPs are
    evaluated by the IAM policy simulator; resource-based policies of the targets, RCPs and VPC
    endpoint policies are not. Tool reach is an upper bound set by the tool's role; what the tool
    code does with its inputs is narrower.

История, которую рассказывает вывод: сам бот поддержки безобиден, но документ, который обманывает его, заставляя вызвать create-ticket, выполняет код под ролью, которая может передать административную роль новой Lambda. Инструмент search-docs, предназначенный для чтения документации по продукту, также может читать секрет базы данных продакшена и записывать в бакет резервных копий. Каждая строка указывает идентификатор, действие и ресурс, поэтому исправление — это формулировка политики, а не дискуссия.

Тот же движок охватывает AgentCore. Для примерного шлюза (--demo -a tools-gw) основным выводом является межагентская уязвимость:

tools-gw (agentcore_gateway, eu-central-1)
├── tool: crm-sync can write into agent 'support-bot' knowledge base (RAG poisoning): arn:aws:s3:::kb-product-docs/*
├── inbound authorizer: NONE; policy engine: none
...
│   ├── tool: crm-sync s3:PutObject on arn:aws:s3:::kb-product-docs/* unverified write into agent
│   │   'support-bot' knowledge base (RAG poisoning)
...
├── Coverage notes
│   └── tool 'erp-mcp' (gateway_target_mcp_server): backend identity unknown, not assessed - remote
│       MCP server; credential provider: OAUTH

Что читает agent-blast (все операции list/get, без платы):

• Bedrock Agents: роль ресурса агента, каждая группа действий в версии DRAFT, разрешённая до её Lambda и роли выполнения этой Lambda, базы знаний, разрешённые до их S3-бакетов источников данных.
• AgentCore: роль выполнения и сетевой режим, роль шлюза с авторизатором, движок политик и каждая цель (Lambda, удалённый MCP-сервер, API Gateway, OpenAPI, Smithy) с её поставщиком учётных данных, интерпретатором кода и ролями выполнения браузера.
• Политики IAM именно этих идентификаторов (встроенные, привязанные, групповые), сохранённые в исходном виде: действие, ресурс, эффект, наличие Condition. Условия помечаются, никогда не угадываются. Решение принимает симулятор. Далее, для каждой учётной записи: 64 метода повышения привилегий, переходы AssumeRole через граф доверия и каждое предоставление доступа к данным, секретам, горизонтальному перемещению, выполнению кода и вызову моделей сопоставляется с конкретными ресурсами. Бакет базы знаний всегда является конкретной целью, даже при наличии s3:* на *, и запись в него报告 как отравление RAG (RAG poisoning). Всё, что сканер не смог прочитать (запрещённый регион, инструмент без IAM-учётной записи), отмечается как заметка о покрытии (coverage note), но никогда как молчаливый пропуск.

--verify запрашивает iam:SimulatePrincipalPolicy для каждой конкретной пары (учётная запись, действие) с контекстом, который действительно есть у атакующего (без MFA в сессии, TLS-транспорт), и помечает каждый reachable ресурс как PROVEN, DENIED (с указанием уровня политики, которая запретила: SCP, граница полномочий) или not asserted. Форматы вывода: tree, json, markdown. MCP-сервер предоставляет тот же отчёт как get_agent_blast.

Полное сканирование

cloud-audit scan выполняет 110 проверок только для чтения в 25 сервисах AWS, коррелирует результаты в цепочки атак, ранжирует исправления по количеству разорванных цепочек и оценивает стоимость уязвимости. Это тестовый аккаунт (cloud-audit demo), отрисованный тем же кодом, что и реальное сканирование, и сокращённый для краткости:

┌─────── Health Score ───────┐
│ 15 / 100                   │
└────────────────────────────┘
  Provider             AWS
  Account              123456789012
  Regions              eu-central-1
  Resources scanned    80
  Checks passed        14
  Checks failed        6
  Attack chains        3
  Risk exposure        $572K - $12.5M  (IBM/Verizon data)
┌───────────────────────── Attack Chains (3 detected) ─────────────────────────┐
│   CRITICAL      PassRole Escalation to Admin (support-bot-ticket-role)       │
│                 Principal 'support-bot-ticket-role' has iam:PassRole and     │
│                 can create resources with privileged roles via:              │
│                 PassRole+Lambda. The attacker passes an admin role to a      │
│                 service, then uses that service to execute code with admin   │
│                 privileges.                                                  │
│                 Fix: Scope iam:PassRole for 'support-bot-ticket-role' to     │
│                 specific role ARNs                                           │
│                 Risk: $250K - $5.0M                                          │
│                                                                              │
│   CRITICAL      Internet-Exposed Admin Instance                              │
│                 i-0abc123def456789, sg-0a1b2c3d4e5f67890                     │
│                 Instance i-0abc123def456789 is reachable from the internet   │
│                 via open security group and has admin IAM role               │
│                 'prod-admin-role'. An attacker can reach the instance,       │
│                 access IMDS credentials, and gain full admin access to the   │
│                 AWS account.                                                 │
│                 Fix: Restrict security group sg-0a1b2c3d4e5f67890 to         │
│                 specific IPs (effort: LOW).                                  │
│                 Risk: $62K - $625K                                           │
│                                                                              │
│   CRITICAL      CI/CD to Admin Takeover                                      │
│                 Role 'github-deploy-role' trusts an OIDC provider without    │
│                 restricting the 'sub' claim AND has admin permissions. Any   │
│                 repository on the CI/CD platform can assume this role and    │
│                 gain full AWS admin access.                                  │
│                 Fix: Add 'sub' condition to the trust policy (effort:        │
│                 LOW).                                                        │
│                 Risk: $125K - $1.2M                                          │
└──────────────────────────────────────────────────────────────────────────────┘
┌────────────── Remediation Plan (fix 3 things, break 3 chains) ───────────────┐
│    #  Fix                             Effort     Chains   Findings  Risk Red │
│    1  Restrict security groups        LOW             1          1  $62.5K - │
│    2  Add OIDC 'sub' condition to     LOW             1          1  $125K -  │
│       trust policies                                                         │
│    3  Remove IAM privilege            MEDIUM          1          1  $250K -  │
│       escalation paths                                                       │
└──────────────────────────────────────────────────────────────────────────────┘
┌─────────────────── Quick Wins (break CRITICAL chains now) ───────────────────┐
│ 1. aws ec2 revoke-security-group-ingress --group-id sg-0a1b2c3d4e5f67890     │
│ --protocol tcp --port 22 --cidr 0.0.0.0/0                                    │
│    Breaks: AC-01 (Internet-Exposed Admin Instance)                           │
│                                                                              │
│ 2. aws iam update-assume-role-policy --role-name github-deploy-role          │
│ --policy-document file://trust-with-sub.json                                 │
│    Breaks: AC-07 (CI/CD to Admin Takeover)                                   │
└──────────────────────────────────────────────────────────────────────────────┘

Предварительный просмотр исправления до внесения изменений. simulate устраняет находки, которые исправила бы проверка, и пересчитывает оценку, цепочки и стоимость уязвимости офлайн:

$ cloud-audit simulate --report demo.json --fix aws-iam-018

Simulation: Apply Remove IAM privilege escalation paths

┌────────────────────────────── Impact Analysis ───────────────────────────────┐
│   Metric                        Before                After          Delta   │
│   Health Score                  15/100               35/100            +20   │
│   Attack Chains                      3                    2             -1   │
│   Findings                           6                    5             -1   │
│   Risk Exposure         $572K - $12.5M      $187.5K - $1.9M           -85%   │
└──────────────────────────────────────────────────────────────────────────────┘

Chains broken (1):
  CRITICAL  PassRole Escalation to Admin (support-bot-ticket-role)  -> GONE

Chains remaining (2):
  CRITICAL  Internet-Exposed Admin Instance
  CRITICAL  CI/CD to Admin Takeover

Next recommended fix: Restrict security groups -> breaks 1 more chain(s)

Идите наружу от любого ресурса, чтобы увидеть, до чего может добраться его компрометация:

$ cloud-audit blast-radius --report demo.json --resource arn:aws:iam::123456789012:role/support-bot-ticket-role

┌────────────────────────────────────── Blast Radius ──────────────────────────────────────┐
│ Compromise of role/support-bot-ticket-role leads to Account Takeover via 2 hop(s).       │
│ Resource: arn:aws:iam::123456789012:role/support-bot-ticket-role                         │
│ Reachable: 3 | Paths to impact: 1 | Risk score: 72/100                                   │
└──────────────────────────────────────────────────────────────────────────────────────────┘

role/support-bot-ticket-role - IAM Role (assumed compromised)
├── Account Takeover - Full AWS admin (via grants admin, type=exploit) <high-value>
└── arn:aws:s3:::company-backups-2024 - S3 bucket (reachable via admin) (via s3:GetObject +
    ListBucket, type=data) <high-value>

Available fixes (from scan findings):
  - aws-iam-018 Role 'support-bot-ticket-role' can escalate via PassRole+Lambda (breaks chain, effort=MEDIUM)
  - aws-s3-001 Bucket 'company-backups-2024' has Block Public Access disabled (breaks chain, effort=LOW)

--format json загружает прямо в визуализатор в открытом браузере на blast-audit.haitmg.pl; --format mermaid выдаёт диаграмму для вики-страницы. exposure ранжирует каждый узел графа безопасности по доступности из интернета и повышению привилегий:

$ cloud-audit exposure --report demo.json -n 6
   Score    Type              Label                       Why
      60    iam_role          prod-admin-role             internet-reachable
      41    internet          Internet                    internet-reachable
      41    ec2               i-0abc123def456789          internet-reachable
      41    security_group    sg-0a1b2c3d4e5f67890        internet-reachable
      20    iam_role          support-bot-ticket-role     escalation
      20    iam_role          support-bot-search-role     linked to others

_{Визуализатор работает целиком в вашем браузере на экспорте blast-radius --format json.}

Что внутри

Режим доказательства: смоделировано, не угадано

Статический анализ IAM-политик выдаёт ложные срабатывания. Режим доказательства обращается к собственному движку авторизации AWS — iam:SimulatePrincipalPolicy, который работает в режиме чтения и не взимает плату за каждый вызов.

• scan --verify проверяет каждый обнаруженный путь эскалации. verified: true означает, что симулятор разрешил все необходимые действия; false означает, что одно из них было отклонено (путь, скорее всего, ложное срабатывание); null означает, что проверка не выполнялась, причина указана в verification_detail.
• agent-blast --verify проверяет каждую конкретную комбинацию (принципал, действие, ресурс), предоставляет контекст, который имеет атакующий с украденными или предполагаемыми учётными данные, и указывает уровень, который отклонил запрос.

Что симулятор оценивает по состоянию на 2026-07-30: политики идентичности, прикреплённую границу разрешений, SCPs организации, включая их ключи условий, и предоставляемые вами ключи контекста. Что он не оценивает: политики управления ресурсами, политики VPC endpoint, цепочки ролей и политики на основе ресурсов для IAM-ролей. cloud-audit указывает это на каждой проверенной строке. Значение true доказывает, что разрешение существует. Оно не доказывает полную цепочку атаки; ничего не выполняется.

Отчёты

cloud-audit scan --format html     -o report.html     # client-ready
cloud-audit scan --format sarif    -o results.sarif   # GitHub Code Scanning
cloud-audit scan --format json     -o report.json     # machine-readable, feeds every offline command
cloud-audit scan --format markdown -o report.md       # PR comments
cloud-audit scan --compliance cis_aws_v3 --format html -o cis.html
cloud-audit agent-blast --format markdown -o agents.md

CI/CD

- run: pip install cloud-audit
- run: cloud-audit scan --format sarif --output results.sarif
- uses: github/codeql-action/upload-sarif@v3
  with:
    sarif_file: results.sarif

--quiet завершается только с кодом: 0 — чисто, 1 — обнаружения, 2 — ошибка. Фильтрация по критичности через --min-severity high. cloud-audit diff old.json new.json --quiet завершается кодом 1 при новых обнаружениях, поэтому ежедневный сканирование отслеживает дрейф ClickOps. Репозиторий также является составным GitHub Action (gebalamariusz/cloud-audit@v0). Готовые рабочие процессы: базовое сканирование, ежедневное сравнение, после развёртывания.

Установка

pip install cloud-audit                               # pip (recommended)
pipx install cloud-audit                              # isolated
uvx --from cloud-audit cloud-audit scan               # no install
docker run ghcr.io/gebalamariusz/cloud-audit scan     # Docker (also on Docker Hub: haitmg/cloud-audit)

Docker с учётными данными:

docker run -v ~/.aws:/home/cloudaudit/.aws:ro ghcr.io/gebalamariusz/cloud-audit scan

Python 3.10 до 3.13. Зависимости: boto3, typer, rich, pydantic, jinja2, pyyaml, mcp.

Разрешения AWS

Только чтение. Прикрепите управляемую AWS-политику SecurityAudit; она покрывает все проверки, анализ эскалации IAM, инвентаризацию агентов и режим доказательства:

aws iam attach-role-policy --role-name auditor \
  --policy-arn arn:aws:iam::aws:policy/SecurityAudit

cloud-audit никогда не модифицирует вашу инфраструктуру. simulate, blast-radius, exposure, diff, trend и agent-blast работают локально на сохранённом сканировании и не выполняют вызовов AWS; --verify добавляет только вызовы симулятора. Регионы, в которых сервис не существует, пропускаются; регионы, в которых сканеру отказано в чтении, указываются как пробелы покрытия.

MCP-сервер

Семь инструментов только для чтения для ИИ-ассистентов: scan_aws, get_findings, get_attack_chains, get_remediation, get_health_score, list_checks, get_agent_blast.

claude mcp add cloud-audit -- uvx --from cloud-audit cloud-audit-mcp

Затем задайте вопрос: «Просканируй мой аккаунт AWS и скажи, чего могли достичь мои агенты Bedrock, если бы их перехватили».

Основные флаги и конфигурация

cloud-audit scan -R                                      # show remediation inline
cloud-audit scan --profile prod --regions eu-central-1   # profile / region
cloud-audit scan --regions all                           # all enabled regions
cloud-audit scan --role-arn arn:aws:iam::...:role/audit  # cross-account
cloud-audit scan --export-fixes fixes.sh                 # every CLI fix as a script
cloud-audit scan --categories security,cost              # skip reliability/performance checks
cloud-audit agent-blast -a support-bot --profile prod --verify

Значения по умолчанию находятся в .cloud-audit.yml (регионы, min_severity, exclude_checks, временные подавления suppressions). Переменные окружения (CLOUD_AUDIT_REGIONS, CLOUD_AUDIT_MIN_SEVERITY, ...) переопределяют файл; флаги CLI переопределяют всё. См. руководство по конфигурации.

Документация

Полная документация на haitmg.pl/cloud-audit: начало работы, agent-blast, Цепочки атак, эскалация IAM, радиус поражения, Режим доказательств, лента угроз, периметр данных, AgentCore, соответствие требованиям, и полный справочник проверок.

Коммерческая поддержка

cloud-audit бесплатен и остаётся бесплатным. Если вам нужен человек для работы с результатами проверки, автор предлагает профессиональные услуги:

• Обзор вывода сканера (бесплатно): отправьте свой вывод cloud-audit, Prowler или Security Hub, получите краткий письменный обзор того, что действительно важно и что нужно исправить в первую очередь
• Аудит безопасности AWS: полный аудит учётной записи с приоритизированным отчётом и готовыми к применению исправлениями
• Обзор доступа ИИ-агентов: что могут достигнуть ваши агенты Bedrock и AgentCore, с изменениями политик для ограничения доступа
• Поддержка по исправлению: изменения Terraform и IAM, проверенные с вашими рабочими нагрузками
• Palo Alto VM-Series на AWS: архитектура и обзор безопасности (GWLB/TGW, HA, маршрутизация)

Подробнее: haitmg.pl/cloud-audit-support или по электронной почте kontakt@haitmg.pl.

Разработка

git clone https://github.com/gebalamariusz/cloud-audit.git
cd cloud-audit
pip install -e ".[dev]"
pytest -q && ruff check src/ tests/ && mypy src/

Смотрите CONTRIBUTING.md для добавления проверок. Релизы в CHANGELOG.md.

Лицензия

MIT — Mariusz Gebala / HAIT