Bir kodlama ajanı AWS hesabında çalıştığında bunu genellikle bir insanın izinleriyle yapar. Bir IAM rolü üstlenir ve CloudTrail sonradan o rolün adını gösterir — bir modelin döngü içinde hareket ettiğini değil. Bu ayrım, iki kritik PHP açığının küresel bir yama dalgasını tetiklemesinin ve Cloudflare CEO'su Matthew Prince'in Reuters'a "her hafta gökyüzü yıkılıyormuş gibi hissettirecek birkaç yıl" geleceğini söylemesinin ardından bu hafta dipnottan merkezi soruna dönüştü.

AWS bunun üzerine konuşma yapmadı; araç setini sessizce yeniden düzenledi. Eski AWS Labs depoları artık kullanımdan kaldırma uyarıları taşıyor; örneğin awslabs/startups, eklentilerinin aws/agent-toolkit-for-aws adresine taşındığını yazıyor. Desteklenen ürün artık Agent Toolkit: Apache-2.0 lisanslı, nisandan beri kamuya açık, yaklaşık 3.200 yıldız ve 400'ü aşkın çatal, son güncelleme 23 Ekim.

İçinde neler var:

- Claude Code, Codex ve Cursor için dört eklenti (Kiro, MCP sunucusunu doğrudan alıyor): servis seçimi, CDK/CloudFormation, sunucusuz, konteyner, depolama, gözlemlenebilirlik, faturalama ve dağıtım için aws-core; Bedrock ve AgentCore için aws-agents; S3 Tables, Glue ve Athena için aws-data-analytics; olay inceleme, kod gözden geçirme, sürüm öncesi UAT, güvenlik açığı taraması ve AWS DevOps Agent ile AWS Security Agent üzerinden sızma testi için aws-agents-for-devsecops. - Yalnızca gerektiğinde yüklenen ajan becerileri ve ajana tahmin etmek yerine belgeleri aramasını söyleyen kural dosyaları. - AWS MCP Server: 300'den fazla servisi kapsayan tek bir yönetilen, kimlik doğrulamalı uç nokta; korumalı Python çalıştırma, oturum açmadan belge arama, CloudWatch metrikleri ve istek başına CloudTrail günlüklemesi.

Asıl ilginç kısım iki IAM bağlam anahtarı: aws:ViaAWSMCPService ve aws:CalledViaAWSMCP. AWS bunları yönetilen MCP sunucularından geçen çağrılara ekliyor. Bu sayede, altındaki rol yazma yetkisine sahip olsa bile bir ajana yalnızca okuma eylemine izin veren bir ilke yazabiliyorsunuz — ya da belirli eylemleri yalnızca bir insan başlattığında onaylayabiliyorsunuz. Bu bir korumalı alan değil, bir durum makinesi değil. Bir kimlik katmanı: istek artık kimin tetiklediğini de taşıyor.

Bunun neden ürün bakımından fazlası olduğu: son iki hafta, izinleri olan bir ajanın ne kadar hızlı saldırı yüzeyine dönüştüğünü gösterdi — kötü niyetli olduğu için değil, bir ticket'ta, bir README'de ya da bir web sayfasında yazılı talimatları izlediği için. Ajan yalnızca okuyabiliyorsa istem enjeksiyonu can sıkıcıdır. Dağıtım yapabiliyorsa o enjeksiyon bir olaydır. Ajan eylemlerini insan eylemlerinden ayırmak, sınır çizmenin ön koşulu.

Araç setinin çözmediği şeyler:

- Verilen izinlerin içinde ele geçirilmiş bir ajan hâlâ tehlikelidir. Koşul anahtarı kimin hareket ettiğini söyler; hareketin akıllıca olduğunu söylemez. - Sızma testi başlatabilen bir devsecops eklentisi kendi başına güçlü bir araçtır. Kuran kişi hangi rolle çalıştığını bilmelidir. - IAM anahtarları yönetilen MCP sunucuları üzerinden gelen çağrılarda geçerli. Ajanları doğrudan CLI'ye ya da kendi entegrasyonlarına koşturan ekipler bu ayrımı bedava almıyor. - Günlükleme politika değildir. CloudTrail ne olduğunu sonradan söyler. Bir ajanın neye izinli olduğuna hâlâ bir insan karar verir.

Ekipler için pratik sonuç romantik değil: ajanlar ödünç alınmış roller yerine kendi rollerini alır, ilkeler güven yerine koşul içerir ve "bu şey gerçekte neye ihtiyaç duyuyor" sorusu ilk olaydan sonra değil ilk dağıtımdan önce yanıtlanır. AWS artık yapı taşlarını veriyor — ve ajanları insanlardan ayırmanın bir yolu olmadığı mazereti bu hafta geçen haftaya göre daha zayıf.

Kaynaklar