AWS corrige una fuga de secretos en la herramienta de entorno de Strands Agents

AWS publicó el 28 de octubre de 2026 un boletín para CVE-2026-115415, una falla en la herramienta de entorno del paquete abierto Strands Agents Tools. Esa herramienta permitía listar, leer, definir y eliminar variables de entorno en el equipo donde corría el agente, y por defecto ocultaba los valores que parecían secretos.

El defecto estaba en cómo se controlaba ese ocultamiento: el parámetro de enmascaramiento estaba expuesto en el esquema de la herramienta y podía ser elegido por el modelo. Si el agente procesaba contenido preparado para manipularlo, ese contenido podía inducir una llamada a la herramienta con la protección desactivada. El resultado podía incluir claves API, credenciales de nube u otros valores presentes en el entorno del proceso, sin una aprobación adicional del operador.

El aviso identifica como afectadas las versiones desde 0.1.0 hasta antes de 0.8.6 de strands-agents-tools. AWS corrigió el problema en la versión 0.8.6: el control de enmascaramiento queda en manos del operador y el modelo ya no puede desactivarlo. El boletín también indica que la herramienta de entorno quedó obsoleta.

El riesgo depende de la configuración real. Para que se produzca la exposición, un agente debe tener instalada la herramienta vulnerable y disponer de variables sensibles en su entorno; además, debe procesar instrucciones o datos no confiables capaces de provocar la llamada riesgosa. No es una vulnerabilidad que por sí sola permita acceder desde Internet a cualquier equipo. El aviso no afirma explotación activa ni cuantifica incidentes confirmados.

La falla muestra cómo una función de privacidad local puede quedar expuesta cuando una herramienta delega sus decisiones de seguridad al mismo modelo que interpreta entradas potencialmente hostiles. Una instrucción maliciosa no necesita vulnerar el sistema operativo si puede hacer que el agente solicite una operación permitida con parámetros debilitados.

Las variables de entorno suelen contener secretos de alto valor: tokens de proveedores, claves de almacenamiento, contraseñas de bases de datos y credenciales temporales. Si una salida del agente se registra, se envía a un servicio de modelo o se incorpora a un flujo automatizado, la exposición puede propagarse a sistemas de observabilidad, historiales de conversación y herramientas conectadas. El alcance final depende de los permisos y del diseño de cada despliegue.

Los responsables que usen strands-agents-tools deben identificar instalaciones y actualizar a 0.8.6 o una versión posterior. AWS recomienda retirar la herramienta de entorno de los agentes si no es posible actualizar de inmediato. También aconseja rotar las credenciales que estaban disponibles en el entorno de agentes que cargaron la herramienta afectada.

Como medida de contención, conviene revisar los registros y salidas de agentes ejecutados con versiones vulnerables, limitar sus variables a las estrictamente necesarias y evitar secretos de larga duración en el proceso. La rotación debería abarcar únicamente credenciales que realmente pudieron estar accesibles; después se debe verificar que los nuevos valores no queden expuestos en trazas o sistemas de monitoreo. En agentes con conectores a nube, resulta prudente confirmar que los permisos sean temporales y de mínimo privilegio.

La información disponible procede del boletín de seguridad de AWS, que identifica las versiones, la causa y la corrección. No publica una lista de organizaciones afectadas, evidencia de explotación en campo ni una evaluación independiente de impacto. Por ello, la posibilidad técnica de extraer secretos no debe presentarse como confirmación de que una cuenta específica fue comprometida.

La medida prioritaria es actualizar o retirar la herramienta vulnerable y, si hubo exposición posible, rotar credenciales. Una investigación interna debe determinar qué variables estaban presentes, qué entradas procesó el agente y dónde se almacenaron sus respuestas antes de concluir que hubo o no divulgación.

CVE-2026-115415 refuerza una pauta práctica para sistemas agentivos: controles críticos como el filtrado de secretos deben aplicarse fuera del control del modelo y mantenerse al ejecutar cada herramienta. Los esquemas de funciones no sustituyen límites de autorización, confirmación para operaciones sensibles ni aislamiento del proceso.

Para organizaciones que prueban agentes, la revisión debe incluir tanto el modelo como las herramientas, sus parámetros y el entorno operativo. La separación de credenciales, el filtrado en el lado de la herramienta, el registro mínimo y las pruebas con contenido adversarial reducen el impacto potencial sin asumir que el modelo siempre interpretará correctamente instrucciones confiables y no confiables.