Amazon Kiro: una prompt injection esfiltra dati dal workspace con un solo messaggio

Mindguard scopre una falla in Kiro Powers

Il 27 agosto 2026 i ricercatori di Mindguard hanno divulgato i dettagli di una vulnerabilità in Amazon Kiro, l'ambiente di sviluppo integrato agentico basato su intelligenza artificiale. La falla consente l'esfiltrazione di dati sensibili dal workspace di uno sviluppatore sfruttando la funzionalità Kiro Powers e una tecnica di prompt injection. Non è stato assegnato un identificatore CVE.

Il ricercatore Fergal Glynn ha spiegato che il problema permette a contenuti di repository controllati dall'attaccante di influenzare l'agente Kiro e di far trasmettere informazioni locali sensibili a un endpoint esterno. La vulnerabilità colpisce Kiro IDE versione 0.7.45 su Windows; la versione più recente dell'IDE al momento della segnalazione era 1.0.337.

La catena tecnica: da Kiro Powers all'esfiltrazione

Kiro Powers estende le skill aggregando configurazioni di server Model Context Protocol (MCP), file di steer denominati "POWER.md", hook e conoscenza contestuale. Il file di steer funziona come un manuale di onboarding: fornisce contesto persistente e indica all'agente quali strumenti MCP sono disponibili e quando usarli.

Lo sfruttamento richiede due azioni. Prima, l'utente deve aprire il progetto malevolo tramite un file workspace con il comando File → Open Workspace From File, invece di aprire direttamente la cartella. Poi deve inviare un messaggio all'agente.

La vulnerabilità è riproducibile sia con workspace attendibili sia con workspace non attendibili. Una volta soddisfatte queste condizioni, i dati sensibili del workspace possono essere esfiltrati verso l'attaccante senza che l'utente richieda esplicitamente a Kiro di accedervi o trasmetterli. La difficoltà di sfruttamento è stata valutata bassa.

L'aspetto distintivo: l'utente non deve inviare un prompt malevolo. Dopo l'apertura del file workspace predisposto, basta un messaggio qualsiasi per attivare il flusso vulnerabile.

Il superamento del confine di fiducia avviene in una sequenza. I contenuti di progetto controllati dall'attaccante vengono interpretati come istruzioni; l'agente legge informazioni locali sensibili; l'agente scrive tali informazioni in configurazioni IDE rilevanti per la sicurezza; una successiva capacità dell'IDE trasforma la configurazione modificata in attività di rete. Con la crescente integrazione tra interpretazione ed esecuzione, i file di repository possono fornire contesto al modello mentre l'agente legge file, invoca tool e attiva altre funzionalità, creando possibili superamenti del confine di fiducia.

Versioni interessate e correzione

La falla è stata dimostrata su Kiro IDE 0.7.45 per Windows. Al momento della segnalazione, la versione più recente era la 1.0.337, ma non è noto se anche questa fosse vulnerabile.

Dopo la divulgazione responsabile, Amazon ha implementato una correzione in Kiro IDE versione 0.8.140. L'aggiornamento a questa versione o a una successiva mitiga il problema. Non è disponibile un punteggio CVSS per questa specifica falla.

Precedenti in Kiro e catalogo KEV

Non è la prima vulnerabilità scoperta in Kiro. A giugno 2026 Amazon ha corretto una falla di controllo degli accessi insufficiente identificata come CVE-2026-10591, con punteggio CVSS 8.8 (vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H). Quel problema poteva consentire a un attore remoto non autenticato di eseguire comandi arbitrari tramite istruzioni predisposte che causavano scritture su percorsi sensibili all'esecuzione, come ".vscode/tasks.json" o "~/.kiro/settings/mcp.json", e agevolavano l'esecuzione automatica all'apertura della cartella. Secondo Intezer, inserendo istruzioni nascoste in una pagina web letta da Kiro, un attaccante poteva far riscrivere a Kiro il proprio file di configurazione del server MCP e ottenere esecuzione arbitraria di codice sulla macchina dello sviluppatore, senza prompt di approvazione sospetti.

La nuova falla si basa su un bug precedente segnalato da Mindguard, che consentiva a direttive del file di steer di far incorporare informazioni locali in una richiesta di immagine Markdown e trasmetterle a un server esterno.

La vulnerabilità appena divulgata non risulta inserita nel catalogo KEV della CISA. Tuttavia, negli ultimi 90 giorni, altre vulnerabilità legate a vendor come Amazon, Anthropic e Microsoft sono entrate nel catalogo: CVE-2019-1068 (26 agosto), CVE-2026-33824 e CVE-2026-55040 (18 agosto), CVE-2026-68820 (11 agosto), CVE-2026-50522 (22 luglio) e CVE-2026-58644 (16 luglio). Questo indica che l'ecosistema degli strumenti AI è sotto osservazione per sfruttamento attivo.

Un ecosistema AI sotto pressione

La scoperta in Kiro si inserisce in una serie di problemi di sicurezza emersi negli ultimi mesi negli strumenti per sviluppatori basati su AI. Tra gli episodi più rilevanti: una catena di vulnerabilità in OpenAI Codex CLI per Windows che sfrutta la prompt injection tramite web.run per trasformare una ricerca web in esecuzione occulta di comandi; una vulnerabilità zero-click di esecuzione remota in Cursor CLI che usa la prompt injection indiretta per scrivere ed eseguire un eseguibile malevolo; una vulnerabilità di esecuzione arbitraria di codice in Cursor, GitHub Copilot CLI, Google Gemini CLI e nell'app Codex per Windows dovuta al dirottamento dell'ordine di ricerca dei binari; e una vulnerabilità che interessa Anthropic Claude Code (CVE-2026-35603, CVSS 7.3) e altri strumenti che sfrutta una cartella Windows considerata attendibile per depositare file di configurazione malevoli.

A queste si aggiungono una vulnerabilità di evasione dalla sandbox in Claude Code (CVE-2026-25725, CVSS 10) che consente a un attaccante sandboxed di eseguire comandi sull'host, un insieme di vulnerabilità in Gemini CLI che permettono l'evasione del container e il furto del token OAuth, e una vulnerabilità in NVIDIA NemoClaw (CVE-2026-65105, CVSS 8.1) che consente il controllo del server Ollama con una singola visita a una pagina web. Inoltre, OpenClaw può essere controllato da qualsiasi sito web tramite WebSocket su localhost, e Microsoft Visual Studio Code ha corretto la vulnerabilità Envade (CVE-2026-41613, CVSS 8.8) che con un clic su un deeplink permette esecuzione di codice.

La lezione di Mindguard: valutare i percorsi di esecuzione

Mindguard conclude che i risultati su Kiro evidenziano un problema che va oltre un singolo IDE o un singolo programma di divulgazione. Le vulnerabilità AI possono emergere da interazioni tra interpretazione del modello, logica applicativa, strumenti, configurazione e risorse esterne, rendendole difficili da valutare con processi di divulgazione progettati per difetti software più chiaramente definiti. Con l'aumento degli strumenti a disposizione dei sistemi AI e delle interazioni con lo stato applicativo, i programmi di divulgazione devono valutare i percorsi di esecuzione con lo stesso livello di dettaglio dei ricercatori che li scoprono.

Per gli sviluppatori che usano Amazon Kiro, la raccomandazione immediata è aggiornare alla versione 0.8.140 o successiva. In attesa dell'aggiornamento, evitare di aprire file workspace da fonti non fidate e prestare attenzione a repository sospetti.