AWS ukázala vzor ochrany AgentCore Memory pred memory poisoningom

AWS AgentCore Memory ochrana je nový referenčný návrh, ktorý AWS zverejnila 9. novembra spolu so vzorovým kódom. Návrh pridáva kontrolu pred zápisom do Amazon Bedrock AgentCore Memory, aby sa obmedzilo riziko memory poisoningu – teda uloženia škodlivej inštrukcie, ktorá by mohla ovplyvňovať budúce relácie AI agenta.

Nejde o opravu oznámenej zraniteľnosti ani o reakciu na potvrdené aktívne zneužívanie služby Amazon Bedrock AgentCore. AWS prezentuje riešenie ako demonštračný a vzdelávací vzor, ktorý si pred produkčným použitím vyžaduje ďalšie bezpečnostné testovanie.

AWS AgentCore Memory ochrana pred zápisom

Architektúra využíva AWS Lambda interceptor umiestnený pred zápisom do AgentCore Memory prostredníctvom AgentCore Gateway. Obsah určený na uloženie sa najprv vyhodnotí a až následne môže pokračovať do pamäte agenta.

Kontrola kombinuje štyri typy signálov:

• vyhodnocovanie sémantického driftu,
• detekciu inštrukčných vzorov,
• kontrolu hraníc namespace,
• detekciu anomálie vo frekvencii zápisov.

Na základe vyhodnotenia systém zvolí jedno z troch rozhodnutí: ALLOW pre povolenie zápisu, QUARANTINE pre izolovanie podozrivého záznamu alebo DENY pre jeho zamietnutie. Izolácia umožňuje zabrániť tomu, aby sa sporný obsah okamžite stal súčasťou pamäte dostupnej pri neskorších interakciách.

Prečo je validácia pamäte dôležitá

AgentCore Memory podporuje krátkodobú aj dlhodobú pamäť vrátane uchovávania poznatkov naprieč reláciami. Pri perzistentnej alebo zdieľanej pamäti preto nemusí dôsledok nepriameho prompt injection zostať obmedzený na jednu konverzáciu. Ak sa škodlivý obsah uloží ako pamäťový záznam, môže sa objaviť v kontexte budúcich odpovedí agenta.

Navrhnutá validácia vytvára kontrolný bod ešte pred uložením obsahu. Pre prevádzkovateľov agentov s perzistentnou pamäťou je to praktický obranný vzor, nie hotová univerzálna ochrana. Pri nasadení bude potrebné vlastné testovanie, úprava prahových hodnôt a overenie správania pre konkrétne pracovné zaťaženie.

Verejný kód, ale nie priamo do produkcie

AWS sprístupnila verejný repozitár, ktorý obsahuje zdrojový kód, infraštruktúru definovanú pomocou AWS CDK, politiky Cedar aj testovacie dáta. Repozitár výslovne upozorňuje, že ide o demonštračný a vzdelávací materiál, ktorý nie je bez ďalšieho bezpečnostného testovania určený na produkčné použitie.

AWS uvádza očakávané rozhodnutie vo všetkých 11 vlastných testovacích scenároch. Takýto výsledok však nepredstavuje nezávislé overenie účinnosti mimo malého testovacieho súboru ani dôkaz všeobecnej odolnosti voči prompt injection či memory poisoningu. Fact sheet neuvádza nezávislé overenie miery falošných pozitív ani možností obchádzania sémantickej detekcie.

Praktickou hranicou návrhu sú priame zápisy cez SDK, ktoré môžu Gateway interceptor obísť. Organizácie preto musia ochranu zahrnúť aj do tokov, ktoré nepoužívajú AgentCore Gateway. Vplyv na latenciu a náklady bude závisieť od regiónu, konfigurácie a charakteru pracovného zaťaženia.

Čo sledovať ďalej

Dôležité bude, či AWS tento vzor premení na natívnu funkciu AgentCore Memory. Relevantné budú tiež nezávislé testy presnosti detekcie, falošných pozitív a odolnosti voči obchádzaniu. Pre tímy využívajúce perzistentnú pamäť je zároveň podstatné, či ochranné kontroly pokryjú aj priame SDK volania mimo AgentCore Gateway.

Overené a aktualizované: 10. 11. 2026 06:27