AI Security Maturity Model·AWS v1.0.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Capacidad 5 / c5.1
Fundacional Gestión de identidad y accesoCapa de defensa en profundidad: Identidad y datos Capacidad 5 · Agentes de IA generativaCaso de uso: IA que actúa 👤 ClienteModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c5.1 Da a cada agente su propia identidad acotada

Establece identidades distintas para los tres puntos de autenticación (el usuario que invoca al agente, el agente accediendo a herramientas, la herramienta accediendo a sistemas aguas abajo) para que un agente nunca herede una identidad humana con permisos excesivos.

Fundacional
Mejorada
Avanzada
Esfuerzo: Medio Impacto: Alto Scopes de IA generativaDe la AWS Generative AI Security Scoping Matrix.: 3 · Modelos preentrenados; 4 · Modelos ajustados (fine-tuned) Dimensiones de seguridad agénticaDe la AWS Agentic AI Security Scoping Matrix.: Identidad

Guía de implementación

Cómo implementarlo en AWS

Configura la autenticación de entrada con AgentCore Identity (credenciales de AWS u OAuth 2.0; Cognito integra de forma nativa). Limita quién puede llamar a InvokeAgentRuntime con condiciones de IAM sobre el ARN del agente. Da al agente su propia identidad para el acceso a herramientas, separada de la del usuario, y un identity store distinto para las llamadas al gateway.

Criterios de aceptación

La autenticación de usuario, agente y herramienta están separadas; InvokeAgentRuntime está restringido por condición de IAM sobre el ARN del agente; el agente usa su propia identidad, no la del usuario.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Los tres puntos de autenticación están separados: los usuarios se autentican en la cuenta de aplicación, y el agente tiene su propia identidad en la cuenta de IA generativa para las llamadas a herramientas y gateway.

  1. Configura la autenticación de entrada con AgentCore Identity (credenciales de AWS u OAuth 2.0; Cognito integra de forma nativa) para que el usuario se autentique en el borde de la cuenta de aplicación.
    Cuenta de aplicación AgentCore Identity Amazon Cognito
  2. Restringe quién puede llamar a InvokeAgentRuntime con una condición de IAM sobre el ARN del agente, para que solo la ruta de app autenticada pueda iniciar al agente.
    Cuenta de IA generativa IAM Bedrock AgentCore
  3. Da al agente su propia identidad para el acceso a herramientas (separada de la del usuario) y un identity store distinto para las llamadas al gateway.
    Cuenta de IA generativa Bedrock AgentCore IAM

Cómo validar: La autenticación de usuario, agente y herramienta están separadas; InvokeAgentRuntime está restringido por condición de IAM sobre el ARN del agente; el agente usa su propia identidad, no la del usuario.

Evita: Dejar que el agente actúe como el usuario que lo invoca. El agente hereda entonces todos los permisos de esa persona; dale su propia identidad acotada para cada salto.

OU de IA generativa (multi-cuenta) →

Las identidades de usuario, agente y herramienta se mantienen distintas dentro de la cuenta, y InvokeAgentRuntime se controla con una condición de IAM sobre el ARN del agente.

  1. Configura la autenticación de entrada con AgentCore Identity (Cognito nativo) para que los usuarios se autentiquen antes de que el agente corra.
    Capa de aplicación (rol IAM) AgentCore Identity Amazon Cognito
  2. Restringe InvokeAgentRuntime con una condición de IAM sobre el ARN del agente.
    Capa de IA generativa (rol IAM) IAM Bedrock AgentCore
  3. Da al agente su propia identidad para el acceso a herramientas/gateway, separada de la del usuario.
    Capa de IA generativa (rol IAM) Bedrock AgentCore IAM

Cómo validar: La autenticación de usuario, agente y herramienta están separadas; InvokeAgentRuntime está condicionado por ARN; el agente usa su propia identidad.

Evita: Una identidad compartida entre el usuario y el agente. Separa los tres puntos de autenticación para que ningún salto herede más de lo que necesita.

Cuenta única (punto de entrada) →

Amenazas que atiende

  • Un agente actuando con una copia de la identidad de un usuario con permisos excesivos.
  • Confused deputy en una cadena multiagente donde cada salto carece de identidad propia.

Servicios AWS

Amazon Bedrock AgentCore Identity Amazon Cognito AWS IAM

Mapeos de frameworks

OWASP GenAI/LLM Top 10 (2026)

  • LLM03 Excessive Agency

NIST AI Risk Management Framework (AI 100-1)

  • GOVERN.1 Policies, processes, procedures and accountability structures
  • MANAGE.1 AI risks are prioritized, responded to and managed

AWS Well-Architected Generative AI Lens (Security)

  • GENSEC05-BP01 Implement least privilege and permission boundaries for agentic workflows

OWASP GenAI Top 10 for Agentic Applications (2025)

  • ASI03 Identity and Privilege Abuse

Recursos de aprendizaje

Referencias

  • AWS SRA para IA — Capacidad 5, Gestión de identidad y acceso