AWS 修补 Strands 工具秘密遮罩漏洞，提醒更换相关凭据
受影响的是 strands-agents-tools 的 environment 工具；公告不代表 AWS 账户已遭入侵。
AWS 于10月28日公布 CVE-2026-115415：strands-agents-tools 0.1.0 起、低于0.8.6的版本中，environment 工具可能受恶意内容中的指令影响，关闭秘密遮罩并向模型返回环境变量，其中可能含 API 密钥。
0.8.6 已修补，遮罩改由操作人员控制，该工具也被弃用。AWS 建议升级并修补衍生版本，以及更换曾存在于加载该工具之代理环境的凭据；未能立即升级者，官方建议先移除该工具。
这是特定开源软件包的安全通知，不是已确认所有用户遭入侵，也不是新的网页、App 或 API 服务。港澳台服务资格、价格及语言支持未确认。本报没有扫描账户、测试漏洞、安装更新或更换密钥。
https://github.com/strands-agents/tools/security/advisories/GHSA-qjx4-hg6g-2f34
0.8.6 已修补，遮罩改由操作人员控制，该工具也被弃用。AWS 建议升级并修补衍生版本，以及更换曾存在于加载该工具之代理环境的凭据；未能立即升级者，官方建议先移除该工具。
这是特定开源软件包的安全通知，不是已确认所有用户遭入侵，也不是新的网页、App 或 API 服务。港澳台服务资格、价格及语言支持未确认。本报没有扫描账户、测试漏洞、安装更新或更换密钥。
https://github.com/strands-agents/tools/security/advisories/GHSA-qjx4-hg6g-2f34
使用条件
- 香港
- 风险取决于是否使用受影响软件包及加载 environment 工具，不是香港服务开放公告。当地托管服务供应、价格、方案与繁中支持未确认。
- 澳门
- 风险取决于是否使用受影响软件包及加载 environment 工具，不是澳门服务开放公告。当地托管服务供应、价格、方案与繁中支持未确认。
- 台湾
- 风险取决于是否使用受影响软件包及加载 environment 工具，不是台湾服务开放公告。当地托管服务供应、价格、方案与繁中支持未确认。
官方来源: CVE-2026-115415 - Secret masking bypass in the environment tool in Strands Agents Tools