Intégrer une charge de travail traditionnelle dans le cloud à Amazon Bedrock

L'objectif de ce cas d'utilisation est de démontrer une charge de travail cloud traditionnelle intégrée à Amazon Bedrock pour tirer parti des capacités d'IA générative. Le schéma suivant illustre le compte Generative AI en conjonction avec un exemple de compte d'application. 

Le compte Generative AI est dédié à fournir des fonctionnalités d'IA générative en utilisant Amazon Bedrock. Le compte d'application est un exemple de charge de travail. Les services AWS que vous utilisez dans ce compte dépendent de vos besoins. Les interactions entre le compte Generative AI et le compte d'application utilisent les API Amazon Bedrock. 

Le compte d'application est séparé du compte Generative AI pour aider à regrouper les charges de travail en fonction des objectifs commerciaux et de la propriété. Cela permet de limiter l'accès aux données sensibles dans l'environnement d'IA générative et de soutenir l'application de contrôles de sécurité distincts par environnement. Le fait de conserver la charge de travail traditionnelle du cloud dans un compte distinct permet également de limiter l'ampleur de l'impact des événements indésirables. 

Vous pouvez créer et faire évoluer des applications d'IA générative d'entreprise en fonction de différents cas d'utilisation pris en charge par Amazon Bedrock. Certains cas d'utilisation courants sont la génération de texte, l'assistance virtuelle, la recherche de texte et d'images, le résumé de texte et la génération d'images. Selon votre cas d'utilisation, le composant de votre application interagit avec une ou plusieurs fonctionnalités d'Amazon Bedrock, telles que les bases de connaissances et les agents. 

Compte d'application

Le compte Application héberge l'infrastructure et les services principaux permettant d'exécuter et de gérer une application d'entreprise. Dans ce contexte, le compte Application agit comme la charge de travail cloud traditionnelle, qui interagit avec le service géré Amazon Bedrock dans le compte Generative AI. Consultez la section sur le compte de l'application Workload OU pour connaître les meilleures pratiques de sécurité générales relatives à la sécurisation de ce compte. 

Les meilleures pratiques standard en matière de sécurité des applications s'appliquent comme dans les autres applications. Si vous envisagez d'utiliser la génération augmentée par extraction (RAG), dans laquelle l'application demande des informations pertinentes à une base de connaissances telle qu'une base de données vectorielle à l'aide d'un message texte envoyé par l'utilisateur, l'application doit propager l'identité de l'utilisateur dans la base de connaissances, qui applique vos contrôles d'accès basés sur les rôles ou les attributs.

Un autre modèle de conception des applications d'IA générative consiste à utiliser des agents pour orchestrer les interactions entre un modèle de base (FM), des sources de données, des bases de connaissances et des applications logicielles. Les agents appellent des API pour prendre des mesures au nom de l'utilisateur qui interagit avec le modèle. Le mécanisme le plus important pour réussir est de s'assurer que chaque agent propage l'identité de l'utilisateur de l'application aux systèmes avec lesquels il interagit. Vous devez également vous assurer que chaque système (source de données, application, etc.) comprend l'identité de l'utilisateur, limite ses réponses aux actions que l'utilisateur est autorisé à effectuer et répond avec les données auxquelles l'utilisateur est autorisé à accéder.

Il est également important de limiter l'accès direct aux points d'inférence du modèle préentraîné qui ont été utilisés pour générer des inférences. Vous souhaitez restreindre l'accès aux points de terminaison d'inférence afin de contrôler les coûts et de surveiller l'activité. Si vos points de terminaison d'inférence sont hébergés sur AWS, par exemple avec les modèles de base Amazon Bedrock, vous pouvez utiliser IAM pour contrôler les autorisations permettant d'invoquer des actions d'inférence. 

Si votre application d'IA est accessible aux utilisateurs sous forme d'application Web, vous devez protéger votre infrastructure en utilisant des contrôles tels que des pare-feux pour applications Web. Les cybermenaces traditionnelles telles que les injections de code SQL et les inondations de requêtes peuvent être dirigées contre votre application. Étant donné que les appels de votre application entraînent l'appel des API d'inférence du modèle et que les appels d'API d'inférence du modèle sont généralement payants, il est important de limiter les inondations afin de minimiser les frais imprévus de la part de votre fournisseur FM. Les pare-feux d'applications Web ne protègent pas contre les menaces à injection rapide, car ces menaces se présentent sous la forme de texte en langage naturel. Les pare-feux font correspondre le code (par exemple, HTML, SQL ou expressions régulières) là où il est inattendu (texte, documents, etc.). Pour vous protéger contre les attaques par injection rapide et garantir la sécurité du modèle, utilisez des glissières de sécurité. 

L'enregistrement et le suivi des inférences dans les modèles d'IA générative sont essentiels pour maintenir la sécurité et empêcher les abus. Il permet d'identifier les acteurs potentiels de la menace, les activités malveillantes ou les accès non autorisés, et permet d'intervenir en temps opportun et d'atténuer les risques associés au déploiement de ces puissants modèles.

Compte Generative AI

Selon le cas d'utilisation, le compte Generative AI héberge toutes les activités d'IA générative. Cela inclut, sans toutefois s'y limiter, l'invocation du modèle, le RAG, les agents et les outils, ainsi que la personnalisation du modèle. Consultez les sections précédentes qui traitent de cas d'utilisation spécifiques pour voir quelles fonctionnalités et quelles implémentations sont nécessaires pour votre charge de travail. 

Les architectures présentées dans ce guide offrent un cadre complet aux organisations qui utilisent les services AWS pour tirer parti des capacités d'IA générative de manière sûre et efficace. Ces architectures combinent les fonctionnalités entièrement gérées d'Amazon Bedrock avec les meilleures pratiques en matière de sécurité afin de fournir une base solide pour intégrer l'IA générative dans les charges de travail cloud et les processus organisationnels traditionnels. Les cas d'utilisation spécifiques couverts, notamment la fourniture de machines FM génératives basées sur l'IA, de RAG, d'agents et la personnalisation de modèles, répondent à un large éventail d'applications et de scénarios potentiels. Ce guide fournit aux organisations la compréhension nécessaire des services AWS Bedrock et de leurs contrôles de sécurité inhérents et configurables, leur permettant de prendre des décisions éclairées adaptées à leur infrastructure, à leurs applications et à leurs exigences de sécurité uniques.