c4.7 Restringe las herramientas basadas en Lambda

Una herramienta Lambda es código que el agente puede disparar

Cuando una herramienta de agente está respaldada por una función de AWS Lambda, el modelo puede hacer que ese código se ejecute con lo que permita el rol de la función. Si la función tiene permisos excesivos, está en la red pública o puede escalar sin límite, una inyección de prompt que llega a la herramienta se convierte en acciones reales, movimiento lateral o un evento de costo/DoS. Restringe la función en tres ejes: identidad, red y recursos.

Acota el rol de ejecución

Cada Lambda tiene un rol de ejecución. Parte de AWSLambdaBasicExecutionRole (solo CloudWatch Logs) y añade únicamente las acciones específicas que esta herramienta necesita, nada amplio:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ToolDataAccessOnly",
      "Effect": "Allow",
      "Action": ["dynamodb:GetItem"],
      "Resource": "arn:aws:dynamodb:us-east-1:111122223333:table/Orders"
    }
  ]
}

Combínalo con el límite de permisos de la herramienta (consulta el control de roles de herramienta) para que los permisos efectivos nunca puedan exceder el techo.

Ponla en una VPC con egreso controlado

Ejecuta la función en subredes privadas para que no pueda alcanzar libremente internet, y usa el grupo de seguridad + una ruta de egreso filtrada por NAT para controlar a qué puede llamar:

aws lambda update-function-configuration \
  --function-name agent-tool-lookup-order \
  --vpc-config 'SubnetIds=subnet-0aaa1111,subnet-0bbb2222,SecurityGroupIds=sg-0ccc3333'

Topa su radio de impacto con concurrencia reservada

La concurrencia reservada es a la vez un piso y un techo: impide que una herramienta mal usada escale a miles de ejecuciones en paralelo (costo descontrolado, agotamiento de recursos aguas abajo):

aws lambda put-function-concurrency \
  --function-name agent-tool-lookup-order \
  --reserved-concurrent-executions 10

Establece además un timeout corto de la función y memoria mínima para que una invocación colgada o abusada sea barata y acotada.

Nota de nomenclatura: reemplaza el nombre de la función, los ids de subred/SG, el ARN de la tabla, y ajusta el límite de concurrencia al pico legítimo de la herramienta. La concurrencia reservada no genera cargo extra.