AWS 限制 AI 智能体的数据访问，即便遭到操纵

AWS 详细介绍了一种通过 AI 代理传递用户授权上下文的方法，允许由基础设施和下游服务强制执行访问控制，而不是依赖代理本身。

使用 Amazon Bedrock AgentCore 的客户可以构建 AI 代理，从 Amazon DynamoDB 表、文档库、SaaS 平台和内部知识库中提取信息，以回答问题并自动化工作流程。然而，如果代理不了解发出请求的用户，它可能会返回该用户无权查看的信息。

下图显示了本演示中使用的架构。（来源：AWS）

“代理扮演的是协调者的角色，而不是看门人，”AWS 解释道。“授权由下游服务强制执行。”

CRM 访问控制用例

AWS 通过一个 CRM 应用程序说明了这一方法，在该程序中，来自销售部门和财务部门的员工与同一个 AI 代理交互以访问客户信息。

销售部门员工需要访问客户合同、定价策略和销售管道数据，而财务部门员工需要访问发票、支付记录和财务报告。

代理可以从 Amazon DynamoDB、存储在 Amazon Bedrock Knowledge Bases 中的文档以及 Salesforce 等外部服务中检索信息。

例如，当销售部门员工要求查看客户合同时，代理应该只能检索销售部门可用的信息，而不能检索财务数据。

AWS 表示，在代理之外强制执行这些限制，即使代理通过提示词注入 (prompt injection) 受到操纵或受应用程序漏洞影响，也能提供保护。

用户身份和授权

员工首先使用其企业凭证进行身份验证。AWS 在其示例中使用 Amazon Cognito 作为身份提供者，不过也可以使用 Microsoft Entra ID 和 Okta。

有关员工的信息（如所属部门）会被添加到其身份验证令牌中，并随请求传递给代理。

Amazon Bedrock AgentCore Runtime 会验证用户的令牌并检查其授权信息，然后才允许请求到达代理。在代理运行之前，可以拒绝来自不符合配置要求的用户的请求。

然后，当代理访问其他服务时，可以传递授权上下文，允许这些服务确定允许用户访问哪些信息。

访问控制保持在代理之外

AWS 展示了该方法在 DynamoDB、Amazon Bedrock Knowledge Bases 和 Salesforce 上的应用。

对于 DynamoDB，访问权限可以限制在与用户部门相关的记录上。Salesforce 同样可以应用自己的共享规则，以便代理只接收个人用户可用的记录。

Amazon Bedrock Knowledge Bases 使用元数据过滤，将检索到的文档限制在相应的部门。AWS 指出，这种控制在应用层运行，并建议在需要更严格隔离的情况下，使用带有 IAM 策略的独立知识库。

更广泛的目标是避免赋予 AI 代理广泛的访问权限，并信任它能正确过滤敏感信息。相反，AWS 建议配置底层服务以拒绝未经授权的请求，“无论代理请求什么”。

“通过这种方式，代理的凭证在本质上被限制在发出请求的用户的权限范围内，任何程度的提示词操纵都无法绕过这些边界，”作者 Anshu Bathla、Prafful Gupta 和 Rohit Verma 总结道。