AWS dodał precyzyjną kontrolę dostępu do pamięci Amazon Bedrock AgentCore Memory, dając programistom zarządzany sposób izolowania pamięci agenta według użytkownika lub dzierżawcy za pośrednictwem bramy AgentCore Gateway. Wersja z 28 sierpnia przenosi wrażliwą część projektu agenta do zasad infrastruktury: kto może czytać, zapisywać, odzyskiwać i modyfikować pamięć używaną przez agenta AI w sesjach.
Ta funkcja wykorzystuje uwierzytelnianie OAuth JWT i zasady Cedar, zgodnie z AWS. Łącznik pamięci zarządzanej udostępnia 12 operacji pamięci jako akcje Cedar, dzięki czemu zespoły mogą wyrazić reguły dostępu dotyczące operacji na pamięci, zamiast polegać wyłącznie na kodzie aplikacji do filtrowania rekordów przed każdym wywołaniem lub po nim.
Może to brzmieć jak mała aktualizacja autoryzacji. Tak nie jest. Pamięć trwała to jedna z głównych różnic między prostym interfejsem czatu a długotrwałym produktem agenta. Gdy agenci zapamiętają preferencje użytkownika, kontekst konta, historię projektu, wcześniejsze decyzje, zgłoszenia do pomocy technicznej lub stan procesów biznesowych, pamięć staje się granicą bezpieczeństwa. AWS teraz tak to traktuje.
Co się zmieniło
Amazon Bedrock AgentCore Memory jest częścią stosu infrastruktury agentów AWS. Został zaprojektowany, aby pomóc agentom przechowywać i odzyskiwać kontekst podczas interakcji, zamiast zmuszać każdy zespół aplikacji do tworzenia od podstaw własnej warstwy pamięci.
Nowa funkcja kontroli dostępu pozwala twórcom egzekwować izolację poszczególnych użytkowników i dzierżawców za pośrednictwem AgentCore Gateway. AWS twierdzi, że ta funkcja współpracuje z uwierzytelnianiem OAuth JWT i językiem Cedar, językiem zasad używanym również w innych systemach autoryzacji AWS. Dokumentacja AgentCore opisuje zasady w AgentCore jako oparty na Cedar mechanizm kontrolowania dostępu do narzędzi bramy.
Praktyczna zmiana polega na tym, że autoryzacja pamięci może teraz znajdować się bliżej bramy i warstwy narzędzi. Zamiast zapisywać niestandardowe kontrole każdego wywołania pamięci w aplikacji, zespoły mogą zdefiniować zasady określające, który obiekt wywołujący może wykonać daną akcję pamięci, w jakiej przestrzeni nazw lub kontekście dzierżawcy.
W przypadku oprogramowania obsługującego wielu dzierżawców jest to znacząca zmiana architektoniczna. Asystent AI dla kancelarii prawnej, agencji, zespołu wsparcia lub działu przedsiębiorstwa może obsługiwać wielu użytkowników za pośrednictwem tego samego kodu agenta. Niebezpieczny tryb awarii polega nie tylko na tym, że model daje złą odpowiedź. Dzieje się tak, gdy pamięć jednego dzierżawcy jest pobierana do sesji innego dzierżawcy lub agent zapisuje poufny stan w niewłaściwym zakresie. Szczegółowe egzekwowanie zasad ma na celu ograniczenie tej klasy błędów.
Dlaczego izolacja pamięci ma teraz znaczenie
Pamięć agenta stwarza nowy problem z trwałością dla platform AI. Dzienniki podpowiedzi, pobrane dokumenty, wyniki narzędzi, preferencje użytkownika i stan przepływu pracy mogą stać się częścią przyszłego rozumowania. To sprawia, że pamięć jest użyteczna, ale utrudnia także określenie granic danych.
Tradycyjna autoryzacja API zwykle skupia się na żądaniu: czy obiekt wywołujący może w tej chwili uzyskać dostęp do tego zasobu? Pamięć agenta rozciąga pytanie w czasie. Rekord przechowywany podczas jednej sesji może zostać odzyskany kilka tygodni później przy użyciu innego narzędzia, innego modelu lub innej wersji agenta. Jeśli platforma nie przenosi kontekstu tożsamości i autoryzacji do tych operacji pamięci, warstwa pamięci może stać się cichym źródłem wycieków między użytkownikami.
Wykorzystanie Cedaru przez AWS jest również istotne, ponieważ wskazuje na politykę jako infrastrukturę dla systemów agentów. Twórcy agentów coraz częściej potrzebują kontroli obejmujących narzędzia, pamięć, środowiska wykonawcze, klucze API i dzienniki audytu. Umieszczenie tych elementów sterujących w warstwie bramy umożliwia zespołom ds. platform spójne egzekwowanie zasad, nawet gdy zespoły aplikacji eksperymentują z różnymi modelami lub strukturami agentów.
Jest to bezpośrednio powiązane z projektowaniem bramy interfejsu API AI. Brama, która kieruje tylko zapytania do modeli, nie jest już wystarczająca w przypadku poważnych wdrożeń agentów. Płaszczyzna kontroli musi rozumieć tożsamości, dzierżawców, narzędzia, zakresy pamięci, limity szybkości i ścieżki audytu. Model Gate i podobne platformy zmierzają w tym samym kierunku: ujednolicony dostęp jest użyteczny tylko wtedy, gdy ma możliwe do wyegzekwowania granice.
Kogo dotyczy
Bezpośrednią grupą odbiorców są klienci AWS budujący agentów na Bedrock AgentCore, zwłaszcza zespoły pracujące nad produktami SaaS, wewnętrzni asystenci korporacyjni, automatyzacja obsługi klienta, agenci badawczy i przepływy pracy skierowane do partnerów. Każdy produkt obsługujący wiele organizacji lub zespołów korzystających ze współdzielonej infrastruktury musi odpowiedzieć na to samo pytanie: skąd agent wie, jakiej pamięci może używać?
Programiści mogą na tym zyskać, ponieważ mogą polegać na zarządzanych kontrolach zasad zamiast rozpraszać logikę autoryzacji w kodzie aplikacji. Nie eliminuje to konieczności starannego projektowania, ale może zmniejszyć liczbę miejsc, w których błąd może ujawnić nieprawidłowe dane.
Dotyczy to również zespołów ds. bezpieczeństwa i platform.Należy teraz przeglądać pamięć agenta, podobnie jak bazę danych, indeks dokumentów lub magazyn kluczy tajnych. Model dostępu powinien być jawny. Ścieżka audytu powinna pokazywać, która tożsamość uzyskała dostęp do której operacji pamięci. Izolację dzierżawców należy testować bezpośrednio, a nie wyciągać wnioski z routingu aplikacji.
W przypadku firm kupujących lub tworzących systemy agentowe ta wersja stanowi podstawę do pytań dostawców. Nie wystarczy już zapytać, czy asystent ma pamięć. Kupujący powinni zapytać, w jaki sposób pamięć jest partycjonowana, czy wymuszana jest autoryzacja poza modelem, w jaki sposób aktualizowane są zasady i jak dostęp do pamięci pojawia się w dziennikach.
Praktyczne konsekwencje dla konstruktorów
Najbardziej oczywistą konsekwencją jest architektura. Zespoły tworzące długotrwałych agentów powinny oddzielić routing możliwości modelu od uprawnień do wykonywania i pamięci. Potężny model może mieć możliwość przemyślenia zadania, ale to nie znaczy, że każde wywołanie narzędzia lub przeszukanie pamięci powinno dziedziczyć szeroki dostęp.
Po drugie, bramy i platformy agentów powinny traktować operacje na pamięci jako zdarzenia najwyższej klasy. Odczyt, zapis, wyszukiwanie, usuwanie i aktualizacje mają różne profile ryzyka. Analityka użycia nie powinna kończyć się na liczbie tokenów. W przypadku obciążeń agentów analizy coraz częściej muszą pokazywać użycie narzędzi, dostęp do pamięci, zakres dzierżawy, tożsamość użytkownika i wyniki zasad.
Po trzecie, produkty obsługujące wielu dzierżawców powinny unikać polegania na szybkich instrukcjach w celu wymuszenia separacji danych. Można nakazać modelowi, aby nie pobierał kontekstu innego klienta, ale poniżej modelu należy wymusić trwałą izolację. Oznacza to poświadczenia o określonym zakresie, zasady dotyczące bram, projekt przestrzeni nazw i testy, które dowodzą niepowodzenia dostępu między dzierżawcami.
Na koniec należy zwrócić uwagę na platformy partnerów i sprzedawców. Jeśli interfejs API AI dla agencji lub warstwa automatyzacji Partner API umożliwia dalszym klientom tworzenie agentów, zarządzanie pamięcią staje się częścią umowy dotyczącej produktu. Platforma musi zapewniać partnerom wystarczającą elastyczność do tworzenia przydatnych automatyzacji, nie pozwalając im na tworzenie niewidocznych ścieżek udostępniania danych między klientami.
Co pozostaje niepewne
AWS opisuje model kontroli i wykorzystanie w nim JWT OAuth, zasad Cedar, bramy AgentCore Gateway i operacji na pamięci zarządzanej. Z publicznego ogłoszenia mniej jasne pozostaje to, w jaki sposób zespoły będą projektować te zasady w złożonych wdrożeniach produkcyjnych, jak łatwe będzie debugowanie zasad i ile szczegółów operacyjnych klienci będą domyślnie uzyskiwać w dziennikach.
Jednak szerszy kierunek jest jasny. Pamięć agenta staje się infrastrukturą. W takim przypadku autoryzacja, obserwowalność i fakturowanie muszą nastąpić w warstwie bramy. Firmy budujące niezawodne platformy agentów będą tymi, które będą w stanie zapewnić widoczność i zarządzanie dostępem do modelu, uprawnieniami narzędzi i stanem pamięci w jednym miejscu.