Benchling、Bedrockで毎日600件実行

Benchlingのセキュリティチームは、数千のライフサイエンステナントでAIエージェント生成コードを実行する際、従来のサンドボックスでは不十分だと突き止めた。標準的な制御はHTTPを遮断し、外向きポートを制限し、外部接続を限定するが、DNS解決は許可されたままになりがちだ。システムのデフォルトで制限されていても、チームがその制限を可視化できていないこともある。Benchlingには顧客が制御できるネットワーク分離と、自社の統合テストスイートによる継続的な検証が必要だった。

アーキテクチャはUntrusted Code AccountとProduction Accountを分離し、インターネットゲートウェイもNATゲートウェイも持たない。DNSクエリは3段階の優先度を持つRoute 53 Resolver DNS Firewallポリシーを通る。P10は既知の悪意あるドメインを遮断し、P100は明示的に列挙されたエンドポイントのみを許可し、P200はそれ以外すべてにNODATAを返す。VPCエンドポイントポリシーはS3アクセスを特定バケットに制限し、AWS STS経由のジョブ単位認証情報がテナントごとにIAMロールを用意することなくデータアクセスをスコープする。Benchlingはまず概念実証のVPCでこれを実証し、その後、継続的インテグレーションテストスイートにデータ持ち出しシミュレーションを追加した。これにより、境界を弱める将来のインフラ変更はパイプラインで失敗する。

Benchlingにとっての賭けは、VPC設定の変更や新エンドポイントの追加、IAMポリシーの更新にこれらの自動テストが追随できるかどうかにかかっている。規制対象のライフサイエンス顧客が最も気にするのは、報告されているテナント間データ漏洩ゼロだろう。一度のインシデントがAI生成の科学ワークフローへの信頼を損ないかねないからだ。