Tamnoon 如何借助 Amazon Bedrock 构建 AI 驱动的云安全修复方案

英文原标题：How Tamnoon built AI-powered cloud security remediation with Amazon Bedrock

本文为英文原文的机器翻译摘要，原文见：AWS Machine Learning Blog ↗

• Tamnoon 基于 Amazon Bedrock 构建了 agentic 云修复编排器 Tami，可自主调查来自 CNAPP 和云原生工具的发现，评估修复安全性，并在有护栏和治理的前提下生成并编排修复。
• Tami 采用四个专用 AI 代理：调查代理利用 LLM-as-a-judge 验证层生成只读调查步骤；安全评分代理以保守倾向将修复分类为 SAFE、RISKY 或 AWAITING DATA；修复代理仅对安全发现生成包含备份、修复、验证和回滚指导的计划；代码生成代理在输入护栏筛查后生成可执行修复，并由独立审查代理批准。
• 选择 Amazon Bedrock 的原因包括：通过单一 API 为每个代理调用最适合的基础模型，无需为每个模型单独集成；Bedrock 跨区域推理自动路由请求，避免自建流量分配逻辑；推理在 Tamnoon 自有 AWS 环境中运行，受 IAM 权限约束，敏感客户数据不离开信任边界。
• Tamnoon 通过 API 集成与 Wiz、CrowdStrike、Palo Alto Cortex、Upwind、SentinelOne、Orca、Cyera 等 CNAPP 以及 AWS Security Hub、Amazon GuardDuty 等云原生服务连接，将发现归一化为统一格式，并为每个发现分配修复置信度指标（RCI）。
• Tamnoon 完全运行在自有 AWS 账户中，按环境隔离，用户通过基于 Amazon API Gateway 的安全入口访问，加密由 AWS Certificate Manager 管理，登录由 Amazon Cognito 处理，核心平台部署在多个可用区的私有网络中，不直接暴露于互联网。

关键数据

• 在 90 天内将关键云暴露减少超过 90%，且零生产问题。
• 平台使用四个专用 AI 代理。
• 修复置信度指标（RCI）分为 SAFE、RISKY 或 AWAITING DATA。

引语

• 在 90 天内将关键云暴露减少超过 90%，且零生产问题。

为什么值得看：该案例展示了如何利用 Amazon Bedrock 的多模型能力和安全边界，构建可自主调查、评分并安全修复云安全发现的 agentic 系统，从而大幅降低关键暴露并避免生产影响。