c4.7 Restrinja as ferramentas baseadas em Lambda

Uma ferramenta Lambda é código que o agente pode disparar

Quando uma ferramenta de agente é respaldada por uma função do AWS Lambda, o modelo pode fazer esse código ser executado com o que a função da role permitir. Se a função tiver permissões excessivas, estiver na rede pública ou puder escalar sem limite, uma injeção de prompt que chega à ferramenta se transforma em ações reais, movimento lateral ou um evento de custo/DoS. Restrinja a função em três eixos: identidade, rede e recursos.

Restrinja a função de execução (execution role)

Toda Lambda tem uma função de execução. Comece de AWSLambdaBasicExecutionRole (apenas CloudWatch Logs) e adicione somente as ações específicas de que esta ferramenta precisa, nada amplo:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ToolDataAccessOnly",
      "Effect": "Allow",
      "Action": ["dynamodb:GetItem"],
      "Resource": "arn:aws:dynamodb:us-east-1:111122223333:table/Orders"
    }
  ]
}

Combine isso com o limite de permissões da ferramenta (consulte o controle de funções de ferramenta) para que as permissões efetivas nunca possam exceder o teto.

Coloque-a em uma VPC com egresso controlado

Execute a função em sub-redes privadas para que ela não possa alcançar livremente a internet, e use o grupo de segurança + um caminho de egresso filtrado por NAT para controlar o que ela pode chamar:

aws lambda update-function-configuration \
  --function-name agent-tool-lookup-order \
  --vpc-config 'SubnetIds=subnet-0aaa1111,subnet-0bbb2222,SecurityGroupIds=sg-0ccc3333'

Limite seu raio de impacto com concorrência reservada

A concorrência reservada é ao mesmo tempo um piso e um teto — ela impede que uma ferramenta mal utilizada escale para milhares de execuções em paralelo (custo descontrolado, esgotamento de recursos a jusante):

aws lambda put-function-concurrency \
  --function-name agent-tool-lookup-order \
  --reserved-concurrent-executions 10

Defina também um timeout curto da função e memória mínima para que uma invocação travada ou abusada seja barata e limitada.

Nota de nomenclatura: substitua o nome da função, os ids de sub-rede/SG, o ARN da tabela, e ajuste o limite de concorrência ao pico legítimo da ferramenta. A concorrência reservada não gera cobrança extra.