A AWS apresentou uma arquitetura para impedir que agentes de inteligência artificial comprometidos ou manipulados acessem dados além das permissões do usuário. A proposta usa o Amazon Bedrock AgentCore para transferir as decisões de autorização do agente para a infraestrutura e os serviços conectados.
O risco aparece quando um agente recebe credenciais amplas para consultar bancos de dados, repositórios e plataformas SaaS. Em um cenário de prompt injection ou falha na aplicação, o modelo poderia tentar recuperar informações que o usuário originalmente não teria permissão para visualizar.
Na arquitetura demonstrada, usuários se autenticam pelo Amazon Cognito e recebem tokens JWT contendo informações como departamento ou função. O AgentCore Runtime valida esses dados antes de executar o agente, rejeitando requisições que não correspondam às regras configuradas.
Para consultas ao DynamoDB, a AWS utiliza credenciais temporárias vinculadas ao usuário por meio do AssumeRoleWithWebIdentity. Políticas do IAM restringem o acesso às partições autorizadas, impedindo que um agente manipulado contorne a separação entre departamentos.
O princípio central é manter o agente como orquestrador, e não como responsável por decidir quem pode acessar cada informação. Mesmo que seu comportamento seja alterado por um ataque, os controles de infraestrutura continuam limitando as operações permitidas.
