Tamnoon v článku na blogu AWS opisuje Tami, agentový orchestrátor nápravy cloudových bezpečnostných nálezov postavený na Amazon Bedrock. Spracúva nálezy z AWS, Azure, Google Cloud a ďalších prostredí. Podstatou opísaného postupu je oddelenie vyšetrovania od zmien a samostatné posúdenie bezpečnosti pred prípravou nápravy.

Od nálezu k rozhodnutiu

Platforma prijíma nálezy cez API integrácie s CNAPP, poskytovateľmi CSPM a cloudovými nástrojmi. Zjednocuje ich do spoločnej schémy a pred prioritizáciou pridáva kontext aktív a expozície. Medzi uvedené zdroje patria Wiz, CrowdStrike, Palo Alto Cortex, Upwind, SentinelOne, Orca, Cyera, AWS Security Hub a GuardDuty.

Tami rozdeľuje prácu medzi štyroch agentov. Vyšetrovací agent vytvára kroky iba na čítanie a úplný plán; jeho výstupy kontroluje validačná vrstva využívajúca jazykový model ako hodnotiteľa. Agent hodnotenia bezpečnosti spája automatické overovanie so zisteniami analytikov do reťazca dôkazov pre každé aktívum. Konzervatívne prideľuje stav SAFE, RISKY alebo AWAITING DATA. Tento ukazovateľ dôvery v nápravu určuje, čo možno automatizovať a čo potrebuje ľudské posúdenie.

Príprava a kontrola zmien

Agent nápravy sa aktivuje len pri nálezoch označených za bezpečné. Plánuje poradie, závislosti a podmienky; každý krok zahŕňa zálohu, nápravu a overenie spolu s pokynmi na návrat zmien. Agent generovania kódu prevádza plán na vykonateľnú nápravu až po vstupnej kontrole relevantnosti a pokusov o manipuláciu inštrukciami. Každý artefakt prechádza cyklom generovania a kontroly, ktorý vyžaduje schválenie samostatným hodnotiacim agentom.

Výstupy sa podľa článku porovnávajú s výsledkami automatizácie, spätnou väzbou používateľov a tréningovými dátami zo skutočne vyriešených upozornení. Proces zahŕňa prehodnotenie, opätovné generovanie a podľa potreby zásah človeka. Funkcie AI sa pred použitím u zákazníkov testujú interne.

Modely a prevádzkové prostredie

Tamnoon si vybral Bedrock pre prístup k modelom cez jedno API a možnosť prispôsobiť modely požiadavkám na kvalitu a cenu pri uvažovaní, validácii a kontrole. Opísané úlohy Tami používajú Anthropic Claude cez ChatBedrockConverse. Inferencia prebieha v účte AWS spoločnosti Tamnoon v komerčných regiónoch USA; Cross-Region inference smeruje požiadavky v rámci USA. Článok uvádza, že Bedrock neuchováva vstupy ani odpovede a nepoužíva ich na trénovanie.

Platforma beží vo vlastných účtoch AWS oddelených podľa prostredia. API Gateway tvorí vstupný bod, Certificate Manager spravuje šifrovanie a Cognito prihlasovanie. Jadro je v privátnych sieťach vo viacerých zónach dostupnosti. EKS hostí služby panelu a Lambda zbiera a analyzuje nálezy aj vykonáva nápravy. EventBridge, SQS a Step Functions koordinujú paralelné spracovanie, aby chybný záznam nezastavil ostatné.

Oprávnenia, údaje a dohľad

Bedrock AgentCore riadi činnosti agentov a Guardrails kontrolujú požiadavky aj generovaný kód. Podľa opisu pokrývajú všetky požiadavky a odpovede, maskujú osobné údaje a obsah pripomínajúci tajomstvá, filtrujú manipuláciu inštrukciami a zaznamenávajú zásahy. Služby Lambda sú v privátnych podsieťach VPC bez verejného vstupu a s riadeným odchodom komunikácie.

Agenti AI nemajú cloudové prihlasovacie údaje. Izolované vykonávanie používa krátkodobé poverenia obmedzené na konkrétneho tenanta pod kontrolou zákazníka. Každá služba má vlastnú rolu IAM a obmedzené oprávnenia; prístup k Bedrocku povoľuje vyvolanie určených modelov, nie ich správu, trénovanie či export. Jedno spustenie spracúva jednu správu SQS a údaje jedného tenanta. Služby sa navzájom overujú cez aplikačné poverenia OAuth2 v Cognito.

Stav uchovávajú spravované databázy a cache, postupy a artefakty S3 a poverenia Secrets Manager. Výsledky možno odovzdávať do Slacku, Jira, ServiceNow a GitHubu. Nápravy prechádzajú schvaľovaním s auditnou stopou. Konfigurácia je verzovaná v CloudFormation a SAM; modely majú pevné datované identifikátory. Článok uvádza záznam každého volania inferencie v CloudTrail a teplotu dekódovania nula. Fronty, spracovanie chýb a alarmy CloudWatch napojené na pohotovosť podporujú prevádzkový dohľad.

Uvádzané výsledky a ich hranice

Podľa článku Tami analyzoval vyše 14 miliónov cloudových upozornení. Tamnoon uvádza pokles kritickej cloudovej expozície o viac než 90 % za 90 dní bez produkčných problémov. Tieto výsledky pripisuje vlastnému výskumu; dodané podklady neuvádzajú nezávislé overenie, veľkosť vzorky ani metodiku merania. Menší objem ručnej práce a viac uzavretých expozícií na analytika nie sú číselne vyjadrené. Akcie SAFE môžu prebehnúť automaticky, kým RISKY a AWAITING DATA zapájajú cloudových inžinierov Tamnoonu. Uvádzané výsledky preto nie sú zárukou rovnakého výsledku pre každého zákazníka.