c4.1 Restrinja os papéis das ferramentas com privilégio mínimo e permission boundaries

Cada ferramenta é um novo privilégio que o agente ganha

Quando um agente pode chamar ferramentas, cada integração de ferramenta é uma função com permissões. O risco é duplo: uma função de ferramenta individual ampla demais e — de forma mais sutil — a combinação de privilégios, em que um agente que encadeia várias ferramentas consegue algo que nenhuma ferramenta sozinha deveria permitir. O privilégio mínimo por ferramenta trata do primeiro; os limites de permissões (permission boundaries) tratam do segundo ao limitar o que qualquer função de ferramenta pode chegar a fazer, independentemente das políticas anexadas a ela.

Restrinja cada função de ferramenta de forma estreita

Dê a cada ferramenta sua própria função com apenas as ações e os recursos de que essa ferramenta precisa — uma ferramenta de "ler registro de cliente" deveria ler uma tabela do DynamoDB, não ter dynamodb:*. É a mesma disciplina de privilégio mínimo da função de invocação do modelo, aplicada por ferramenta.

Limite o teto com um limite de permissões

Um limite de permissões é uma política gerenciada anexada a uma função que define suas permissões máximas. As permissões efetivas da função tornam-se a interseção de sua política de identidade E o limite — então, mesmo que a política de uma ferramenta seja ampliada depois (ou um atacante tente anexar uma mais ampla), ela nunca pode exceder o limite:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ToolMaxPermissions",
      "Effect": "Allow",
      "Action": [
        "dynamodb:GetItem",
        "dynamodb:Query",
        "s3:GetObject"
      ],
      "Resource": "*"
    },
    {
      "Sid": "NeverTouchIdentityOrSecurity",
      "Effect": "Deny",
      "Action": [
        "iam:*",
        "kms:ScheduleKeyDeletion",
        "organizations:*"
      ],
      "Resource": "*"
    }
  ]
}

Anexe-o ao criar a função da ferramenta:

aws iam create-role \
  --role-name agent-tool-read-customer \
  --assume-role-policy-document file://trust.json \
  --permissions-boundary arn:aws:iam::111122223333:policy/AgentToolBoundary

Torne o limite obrigatório para as funções de ferramenta

O limite só é efetivo se estiver sempre anexado. Imponha-o com uma SCP ou uma condição do IAM (iam:PermissionsBoundary) para que qualquer função criada para uma ferramenta precise carregar o limite; caso contrário, um desenvolvedor pode criar uma função de ferramenta sem limite ao omiti-lo. É assim que você interrompe a combinação de privilégios em um conjunto crescente de ferramentas.

Nota de nomenclatura: o limite não concede nada por si só — você ainda precisa da política de identidade de cada ferramenta. O bloco Deny é o real valor: ações que nenhuma ferramenta deveria jamais executar (tocar IAM, excluir chaves, administrar a organização).