関数に最小限のロールを与える

あなたはレポートチームのバックエンド開発者です。チームメイトが report-generator という名前の Lambda 関数をリリースしようとしています。この関数は毎朝レポート用バケットから1つのオブジェクトを読み取り、自身のログ行を書き込みますが、まだ自分自身のアイデンティティを持っていません。あなたが構築するものはほぼすべて、あなた個人として実行されるわけではないため、その関数が AWS を呼び出す前に実行ロールが必要です。

AmazonS3ReadOnlyAccess をアタッチした状態で、明日 report-generator が侵害された場合、到達できる範囲は最大でどこまでになるでしょうか？