AWS 给 Agent 知识库检索加细粒度权限:不让 LLM 决定用户身份

AWS ML Blog · rss · 2026-11-12

AWS ML Blog 演示如何让共享同一个 Agent 与知识库的多租户用户，各自只能检索到自己有权限的文档。

核心问题：Agent 场景下由 LLM 在运行时决定调用哪个工具及参数。若把「以谁的身份检索」交给 LLM 构造，prompt injection 或模型出错就可能让它以他人身份越权检索。

方案要点

原则：不让 LLM 决定用户是谁，由可信代码基于身份提供方验证过的信息决定。
用 Bedrock Managed Knowledge Base 的 ACL awareness:搜索请求携带 userContext(userId 为邮箱)时，只返回该用户可见的文档块。
通过 AgentCore Gateway 把知识库暴露为 MCP 工具，并在网关层用 Lambda 拦截器从验证过的 JWT 中解析邮箱、强制覆写 userContext 参数。
加两层纵深防御：AgentCore Policy 用 Cedar 策略校验 userContext 与 JWT email 一致，否则拒绝；知识库资源策略只允许网关执行角色调用。

完整架构可用单个 CDK stack 部署，Agent 用 Strands 构建，默认走 Claude Sonnet 5.5。

「编程与Agent」频道最新