AI Security Maturity Model·AWS v1.0.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Capacidad 6 / c6.4
Mejorada Seguridad de la aplicación de IACapa de defensa en profundidad: Aplicación de IA Capacidad 6 · Aplicaciones de IACaso de uso: IA que responde 👤 ClienteModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c6.4 Protege la interfaz de la app con WAF y TLS

Coloca AWS WAF frente a las interfaces web de la aplicación de IA y aplica TLS, para que los exploits web comunes, el tráfico de bots y los patrones de prompt injection se bloqueen en el borde.

Fundacional
Mejorada
Avanzada
Esfuerzo: Medio Impacto: Alto Scopes de IA generativaDe la AWS Generative AI Security Scoping Matrix.: 3 · Modelos preentrenados

Guía de implementación

Cómo implementarlo en AWS

Despliega AWS WAF frente a la interfaz de la app de IA con reglas gestionadas, reglas personalizadas de detección de prompt injection y limitación de tasa. Exige TLS 1.2+ para todas las conexiones de usuario y usa AWS Certificate Manager para la emisión y rotación de certificados.

Criterios de aceptación

WAF protege la interfaz con reglas gestionadas + personalizadas y limitación de tasa; todas las conexiones de usuario usan TLS 1.2+ con certificados gestionados por ACM.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

AWS WAF está frente a la interfaz de la app de IA en la cuenta de aplicación con reglas gestionadas + personalizadas y limitación de tasa, y ACM emite/rota los certificados TLS 1.2+.

  1. Despliega AWS WAF frente a la interfaz de la app de IA con reglas gestionadas y reglas personalizadas de detección de prompt injection.
    Cuenta de aplicación AWS WAF
  2. Agrega reglas basadas en tasa para detener el tráfico de bots y el prompt stuffing.
    Cuenta de aplicación AWS WAF
  3. Exige TLS 1.2+ para todas las conexiones de usuario usando AWS Certificate Manager para la emisión y rotación.
    Cuenta de aplicación Certificate Manager

Cómo validar: WAF protege la interfaz con reglas gestionadas + personalizadas y limitación de tasa; todas las conexiones de usuario usan TLS 1.2+ con certificados gestionados por ACM.

Evita: Una UI de chat de IA pública sin WAF ni límites de tasa. Los bots y la injection la golpean de inmediato; protege el borde e impón TLS.

OU de IA generativa (multi-cuenta) →

WAF con reglas gestionadas + personalizadas y limitación de tasa protege la interfaz de la app en la cuenta, con TLS 1.2+ gestionado por ACM.

  1. Despliega AWS WAF frente a la interfaz con reglas gestionadas y reglas personalizadas de prompt injection.
    Capa de aplicación (rol IAM) AWS WAF
  2. Agrega limitación de tasa para el tráfico de bots/prompt stuffing.
    Capa de aplicación (rol IAM) AWS WAF
  3. Exige TLS 1.2+ con certificados gestionados por ACM.
    Capa de aplicación (rol IAM) Certificate Manager

Cómo validar: WAF protege la interfaz con limitación de tasa; todas las conexiones usan TLS 1.2+ con certificados ACM.

Evita: Servir la app de IA por HTTP plano o sin WAF. Impón TLS y filtra en el borde.

Cuenta única (punto de entrada) →

Amenazas que atiende

  • Exploits web (injection, XSS), tráfico de bots y prompt stuffing contra la app.
  • Agotamiento de recursos por peticiones sin limitar.

Servicios AWS

AWS WAF AWS Certificate Manager

Mapeos de frameworks

OWASP GenAI/LLM Top 10 (2026)

  • LLM01 Prompt Injection
  • LLM06 Unbounded Consumption

NIST AI Risk Management Framework (AI 100-1)

  • MANAGE.1 AI risks are prioritized, responded to and managed

AWS Well-Architected Generative AI Lens (Security)

  • GENSEC04-BP02 Sanitize and validate user inputs to foundation models

Recursos de aprendizaje

Referencias

  • AWS SRA para IA — Capacidad 6, Seguridad de red