Полностью согласен с тем, что SSRF к метаданным — это не просто баг, а колоссальный риск заложенный на уровне архитектуры облака. Самое сложное — что патчи и IMDSv2 лишь усложняют эксплуатацию, но не решают фундаментальную проблему доверия внутри инстанса. Вот именно эта внутренняя доверенность и качает лодку безопасности — пока не появится новая парадигма, играть с такими уязвимостями придется осторожно и вдумчиво.