AI Security Maturity Model·AWS v1.0.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Capacidad 4 / c4.6
Mejorada Seguridad de redCapa de defensa en profundidad: Infraestructura Capacidad 4 · HerramientasCaso de uso: IA que actúa 👤 ClienteModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c4.6 Mantén la integración de herramientas en conectividad privada

Alcanza AgentCore Gateway y Runtime por rutas de red privadas e inspecciona el tráfico hacia herramientas externas, para que la integración de herramientas no quede expuesta a internet y un agente no pueda evadir la lista de permitidos de salida.

Fundacional
Mejorada
Avanzada
Esfuerzo: Medio Impacto: Medio Scopes de IA generativaDe la AWS Generative AI Security Scoping Matrix.: 3 · Modelos preentrenados; 4 · Modelos ajustados (fine-tuned)

Guía de implementación

Cómo implementarlo en AWS

Crea endpoints de VPC (AWS PrivateLink) para AgentCore Gateway y Runtime, despliega las herramientas Lambda en subredes privadas con security groups restrictivos y restringe el acceso al endpoint a las aplicaciones autorizadas. Usa AWS Network Firewall para inspeccionar el tráfico entre la app de IA y las herramientas externas, y activa la validación de IP resuelta de Route 53 para que el firewall solo permita conexiones a IPs que el VPC Resolver realmente devolvió. Ejecuta AgentCore Runtime en modo de red VPC: en modo público su tráfico nunca llega a tu firewall.

Criterios de aceptación

AgentCore se alcanza vía PrivateLink; las herramientas corren en subredes privadas; las políticas de endpoint restringen a quienes llaman; la salida hacia herramientas externas se inspecciona; AgentCore Runtime usa el modo de red VPC; la validación de IP resuelta bloquea las conexiones a IPs que el VPC Resolver no devolvió.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

AgentCore Gateway/Runtime se alcanzan por PrivateLink en la cuenta de IA generativa, las herramientas corren en subredes privadas y Network Firewall inspecciona la salida hacia herramientas externas con validación de IP resuelta, para que la lista de permitidos no se pueda evadir.

  1. Crea endpoints de VPC (AWS PrivateLink) para AgentCore Gateway y Runtime y restringe el acceso al endpoint a las aplicaciones autorizadas.
    Cuenta de IA generativa AWS PrivateLink AgentCore Gateway Amazon VPC
  2. Despliega las herramientas Lambda en subredes privadas con security groups restrictivos para que no tengan ruta directa a internet.
    Cuenta de IA generativa AWS Lambda Amazon VPC
  3. Usa AWS Network Firewall para inspeccionar el tráfico entre la app de IA y las herramientas externas en busca de patrones maliciosos.
    Red / inspección Network Firewall
  4. Activa la validación de IP resuelta de Route 53 en la política de Network Firewall, con un grupo de reglas de DNS Firewall asociado a las VPCs de agentes y herramientas, para que un agente no pueda alcanzar una IP que el VPC Resolver no devolvió. Si la inspección está centralizada, agrega los CIDR de las VPCs de agentes como rangos de origen (por defecto solo se valida el CIDR de la propia VPC del firewall) y usa un firewall conectado al Transit Gateway. Empieza en modo ALERT y luego cambia a DROP. Ejecuta AgentCore Runtime en modo de red VPC para que su salida realmente atraviese el firewall.
    Red / inspección Network Firewall Route 53 DNS Firewall AgentCore Runtime

Cómo validar: AgentCore se alcanza vía PrivateLink; las herramientas corren en subredes privadas; las políticas de endpoint restringen a quienes llaman; la salida hacia herramientas externas se inspecciona; una conexión de prueba del agente a una IP no relacionada usando un dominio permitido es bloqueada por la validación de IP resuelta.

Evita: Dejar que las herramientas alcancen APIs externas directo por internet sin inspección, o confiar solo en una lista de permitidos por dominio. Enruta la salida por inspección y valida las IPs de destino para que el tráfico de herramientas sea visible y controlable.

OU de IA generativa (multi-cuenta) →

PrivateLink a AgentCore, herramientas en subredes privadas e inspección de salida con Network Firewall y validación de IP resuelta mantienen la integración de herramientas fuera del internet público dentro de la cuenta.

  1. Crea endpoints PrivateLink para AgentCore Gateway/Runtime y restríngelos a la app.
    Capa de IA generativa (rol IAM) AWS PrivateLink AgentCore Gateway Amazon VPC
  2. Ejecuta las herramientas Lambda en subredes privadas con security groups restrictivos.
    Capa de IA generativa (rol IAM) AWS Lambda Amazon VPC
  3. Inspecciona la salida hacia herramientas externas con AWS Network Firewall.
    Capa de IA generativa (rol IAM) Network Firewall
  4. Activa la validación de IP resuelta de Route 53 en la política del firewall, con un grupo de reglas de DNS Firewall asociado a la VPC de agentes. Empieza en modo ALERT, luego cambia a DROP, y enruta cada subred al endpoint del firewall de su propia zona de disponibilidad. Ejecuta AgentCore Runtime en modo de red VPC para que su salida atraviese el firewall.
    Capa de IA generativa (rol IAM) Network Firewall Route 53 DNS Firewall AgentCore Runtime

Cómo validar: AgentCore se alcanza vía PrivateLink; las herramientas corren en subredes privadas; la salida hacia herramientas externas se inspecciona; las conexiones a IPs que el VPC Resolver no devolvió se bloquean.

Evita: Herramientas con acceso saliente a internet abierto, o una lista de permitidos que un agente puede esquivar conectándose directamente a una IP. Restringe, inspecciona y valida la salida para que una herramienta comprometida no pueda exfiltrar libremente.

Cuenta única (punto de entrada) →

Amenazas que atiende

  • Tráfico de integración de herramientas expuesto en el internet público.
  • Man-in-the-middle o patrones maliciosos en la comunicación de herramientas.
  • Un agente con prompt injection o una herramienta comprometida exfiltrando datos al conectarse directamente a la IP de un atacante, falsificar un dominio permitido en el SNI/Host o usar SSH/SFTP, algo que una lista de permitidos por dominio por sí sola no detiene.

Servicios AWS

AWS PrivateLink Amazon Bedrock AgentCore AWS Network Firewall Amazon Route 53 Resolver DNS Firewall

Mapeos de frameworks

OWASP GenAI/LLM Top 10 (2026)

  • LLM02 Sensitive Information Disclosure

NIST AI Risk Management Framework (AI 100-1)

  • MANAGE.1 AI risks are prioritized, responded to and managed

AWS Security Hub — AI Security Best Practices

  • BedrockAgentCore.1 Bedrock AgentCore runtimes should be configured with VPC network mode
  • BedrockAgentCore.5 Bedrock AgentCore custom browsers should not use public network mode

AWS Well-Architected Generative AI Lens (Security)

  • GENSEC01-BP02 Implement private network communication between foundation models and applications

OWASP GenAI Top 10 for Agentic Applications (2025)

  • ASI07 Insecure Inter-Agent Communication

Recursos de aprendizaje

Referencias

  • AWS SRA para IA — Capacidad 4, Seguridad de red