Comment Benchling a sécurisé les agents IA multi-locataires avec Amazon Bedrock AgentCore
aws ·
Benchling a mis en œuvre avec succès une architecture d'agents IA multi-locataires sécurisée à l'aide d'Amazon Bedrock AgentCore pour exécuter du code scientifique pour des milliers de clients dans le secteur des sciences de la vie. Pour pallier les limites du sandboxing traditionnel, notamment en ce qui concerne l'exfiltration de données par DNS, ils ont déployé une stratégie de défense en profondeur au sein d'un compte AWS isolé. La solution utilise Amazon Route 53 Resolver DNS Firewall avec une politique stricte incluant une liste noire, une liste blanche et une règle de correspondance universelle (catch-all) afin de sceller les frontières réseau. Les politiques des points de terminaison VPC restreignent davantage l'accès à des buckets S3 spécifiques, garantissant que le code non fiable ne peut pas accéder aux ressources non autorisées, même si les identifiants sont compromis. Benchling évite une prolifération insoutenable des rôles IAM en injectant des identifiants limités à chaque tâche via AWS Security Token Service (STS) lors de l'exécution. Cette approche a traité plus de 600 sessions d'exécution quotidiennement sur plus de 250 locataires hebdomadaires, sans aucun incident de sécurité ni fuite de données. En tirant parti d'une infrastructure gérée plutôt que de créer des sandboxes personnalisés, Benchling maintient des contrôles de sécurité rigoureux tout en se concentrant sur le développement de son produit principal.
aws