AWS apresentou dois padrões de proteção com WAF para o Amazon Bedrock AgentCore Runtime

AWS publicou dois padrões arquitetônicos para proteger agentes de IA em Amazon Bedrock através de AWS WAF, testados com autenticação SigV4 e OAuth via Amazon Cognito JWT.

Por que AgentCore Runtime precisa de proteção WAF

AgentCore Runtime—um componente de Amazon Bedrock para executar agentes de IA em produção—não possui filtragem integrada no nível de aplicação da web por padrão. Sem arquitetura adicional, um invasor pode atacar o agente com injeções, DDoS ou falsificação de solicitações acessando o serviço diretamente.

AWS WAF (Firewall de Aplicação Web) permite bloquear vetores de ataque conhecidos, limitar a taxa de solicitações e aplicar grupos de regras gerenciados antes que a solicitação chegue ao agente. Ambos os padrões apresentados usam um Application Load Balancer (ALB) acessível pela Internet com AWS WAF anexado e encaminham o tráfego através de um VPC Interface Endpoint para AgentCore Runtime.

Parâmetros-chave de ambas as soluções:

• ALB está exposto à Internet, AWS WAF inspeciona cada solicitação recebida
• O tráfego é direcionado através de VPC Interface Endpoint para AgentCore Runtime
• A política de recursos proíbe bypass direto do WAF
• Autenticação SigV4 e OAuth (Amazon Cognito JWT) é suportada
• Ambos os padrões são testados em cenários end-to-end

Padrão 1 versus Padrão 2: qual é a diferença

Padrão 1 coloca AWS Lambda entre ALB e VPC Endpoint em uma função de proxy. A função recebe a solicitação após filtragem WAF, pode transformá-la—adicionar cabeçalhos, normalizar caminhos, modificar o corpo—e depois passa para AgentCore através do VPC Interface Endpoint. Isso proporciona controle máximo sobre o tráfego, particularmente útil se lógica de transformação de solicitação ou validação adicional antes do agente for necessária. O custo é latência adicional e custos de invocação de Lambda.

Padrão 2 elimina completamente o salto de Lambda: ALB endereça diretamente os endereços IP de ENIs (Elastic Network Interfaces) no VPC Interface Endpoint. Este é um esquema mais direto com latência menor e sem sobrecarga de Lambda. Adequado quando transformação de solicitações não é necessária e minimizar latência mantendo proteção WAF é a prioridade.

"Ambos os padrões são testados end-to-end com autenticação

SigV4 e OAuth (Amazon Cognito JWT)", observa AWS no blog de Machine Learning.

Como fechar a porta traseira através da política de recursos

A parte mais crítica de ambos os padrões é a configuração correta da política de recursos de AgentCore Runtime. Sem ela, a proteção WAF perde seu significado: um invasor pode descobrir o endpoint público de AgentCore e chamá-lo diretamente, contornando completamente ALB e WAF.

A solução é a condição `aws:SourceVpce` na política de recursos. Ela permite chamadas para AgentCore apenas através de um VPC Interface Endpoint específico, garantindo que todo o tráfego passe por ALB e AWS WAF. Porta traseira direta é fechada no nível da política de IAM.

Esta abordagem implementa Defesa em Profundidade: WAF é a primeira linha de filtração, política de recursos é a segunda, prevenindo bypass da primeira.

O que significa

A orientação da AWS oferece aos desenvolvedores de agentes de IA em Bedrock padrões prontos e testados em vez de reinventar esquemas de proteção por si mesmos. A escolha entre eles é direta: se transformação de solicitação for necessária—Padrão 1 com Lambda; se velocidade e simplicidade são a prioridade—Padrão 2 com rota direta para ENI.

Perguntas frequentes

Quais métodos de autenticação ambos os padrões suportam?

Ambos os padrões são testados com AWS SigV4 (assinatura de solicitações via chaves de acesso AWS) e OAuth com tokens Amazon Cognito JWT. A escolha depende da arquitetura do seu aplicativo.

Por que WAF sozinho é insuficiente sem política de recursos?

AWS WAF protege apenas o tráfego que passa por ALB. Se você não fechar o acesso direto ao endpoint de AgentCore com política de recursos usando a condição `aws:SourceVpce`, um invasor pode contornar WAF acessando AgentCore diretamente em seu endereço público.

Por que

Amazon Bedrock AgentCore Runtime é vulnerável sem WAF?

AgentCore Runtime não possui filtragem integrada no nível de aplicação da web por padrão. Sem arquitetura adicional, um invasor pode atacar o agente com injeções, DDoS ou falsificação de solicitações.