AWS Kiro IDEには、開発者がWebページを要約することを求めると、ページに隠されたテキストブロックに基づいてツールの設定ファイルmcp.jsonを変更し、攻撃者のコードを実行することが可能な脆弱性があった。この隠しテキストは、1ピクセルの白い文字でページに表示され、Kiroがこのコンテンツを通常のドキュメントとして読み込むことでセキュリティの境界が侵害されていた。

この脆弱性は、Kiroが自身の権限で設定ファイルを書き込み、自動で再読み込みすることにかかっていた。Kiroは、これらの変更についてユーザーに通知し、承認を求めていたが、ユーザーがどれだけ承認しても、ファイルは再読み込みされ、コードは実行されていた。これは、セキュリティモデルの基本的な前提 — 人間がすべてのリスク操作を承認する — を完全に破壊していた。

AWSは、この脆弱性を2026年の初めに修正し、mcp.jsonのような機密ファイルの書き込みをプラットフォームレベルでロックした。現在、これらのファイルに書き込むには、ユーザーの承認が必須となっている。自動モードと監視モードの両方でである。ただし、AWSは、この脆弱性にCVE番号を割り当てず、影響を受けるバージョンについての完全なリストも公開していない。最新バージョンでは、この脅威は解決済みである。