c3.7 Asegura el vector store y la integridad de los embeddings
Autentica y autoriza el acceso al vector store, cífralo con una CMK y controla quién puede escribir embeddings, para que la capa de recuperación no pueda ser envenenada ni leída por quienes no están autorizados.
Guía de implementación
Cómo implementarlo en AWS
Aplica control de acceso a datos de mínimo privilegio en la colección de OpenSearch Serverless, cífrala del lado del servidor con una clave KMS gestionada por el cliente y restringe qué roles pueden escribir embeddings. Realiza la autorización en la capa de la aplicación de IA generativa.
Criterios de aceptación
El vector store aplica acceso a datos de mínimo privilegio; está cifrado con una clave gestionada por el cliente; solo los roles aprobados pueden escribir embeddings.
Implementación práctica
Cómo se implementa este control en cada arquitectura de referencia:
La colección de OpenSearch Serverless aplica acceso a datos de mínimo privilegio, está cifrada con CMK y solo el rol de ingesta puede escribir embeddings — lectura y escritura están separadas.
- Aplica políticas de acceso a datos de mínimo privilegio en la colección para que el rol de lectura (recuperación) y el rol de escritura (ingesta) sean separados y mínimos.Cuenta de IA generativa OpenSearch Service
IAM - Cifra la colección del lado del servidor con la clave KMS gestionada por el cliente.Cuenta de IA generativa
AWS KMS OpenSearch Service - Realiza la autorización en la capa de la aplicación de IA generativa para que quienes llaman no puedan escribir embeddings directamente.Cuenta de IA generativa IAM
Cómo validar: La colección aplica acceso a datos de mínimo privilegio; está cifrada con CMK; solo el rol de ingesta puede escribir embeddings; un rol solo-recuperación no puede modificar el índice.
Evita: Un rol que lee y escribe el índice vectorial. Separa lectura de escritura para que una ruta de consulta comprometida no pueda envenenar los embeddings.
Acceso a datos de mínimo privilegio en la colección, cifrado CMK y roles de lectura/escritura separados evitan que el vector store sea envenenado o leído por quienes no están autorizados.
- Establece políticas de acceso a datos de mínimo privilegio separando el rol de recuperación del rol de ingesta (escritura).Capa de IA generativa (rol IAM) OpenSearch Service IAM
- Cifra la colección con la clave gestionada por el cliente.Capa de IA generativa (rol IAM) AWS KMS OpenSearch Service
- Autoriza en la capa de aplicación para que solo la ruta de ingesta pueda escribir embeddings.Capa de aplicación (rol IAM) IAM
Cómo validar: La colección aplica acceso de mínimo privilegio; está cifrada con CMK; solo el rol de ingesta escribe embeddings.
Evita: Dejar que la ruta de recuperación escriba en el índice. Separa lectura y escritura para que la recuperación no pueda alterar lo que futuras consultas devuelven.
Amenazas que atiende
- Manipulación de los embeddings o del índice vectorial para alterar la recuperación.
- Acceso de lectura/escritura no autorizado al vector store.
Servicios AWS
Amazon OpenSearch Serverless AWS KMS AWS IAM Mapeos de frameworks
OWASP GenAI/LLM Top 10 (2026)
- LLM09 Vector and Embedding Weaknesses
NIST AI Risk Management Framework (AI 100-1)
- MANAGE.1 AI risks are prioritized, responded to and managed
AWS Well-Architected Generative AI Lens (Security)
- GENSEC01-BP03 Implement least privilege access to data stores
Recursos de aprendizaje
Referencias
- AWS SRA para IA — Capacidad 3, Amazon OpenSearch Serverless