Dej funkci úzkou roli

V týmu reportů máš na starosti backend a kolega právě chystá nasadit Lambda funkci s názvem report-generator. Každé ráno čte jeden objekt z bucketu s reporty a zapisuje si vlastní log záznamy, ale zatím nemá žádnou vlastní identitu. Skoro nic, co vytvoříš, neběží pod tvým osobním účtem, takže než tahle funkce bude moct volat AWS, potřebuje spouštěcí roli.

Pokud má report-generator připojenou politiku AmazonS3ReadOnlyAccess a zítra by byla napadená, kam nejdál by se útočník mohl dostat?