Агентам нужна песочница: как Abnormal AI фильтрует миллиарды писем с Code Interpreter из Amazon Bedrock AgentCore

Почему агенту мало одной модели

AI-агенты уже работают в продакшене с масштабом в миллиарды операций в день, и на этом масштабе проявился повторяющийся архитектурный паттерн: агенту нужна вычислительная площадка для вычислений. Она требуется не только для задач программирования, но и для агрегации данных, анализа, проверки результатов и любых процессов, где одного семантического рассуждения недостаточно: на вопрос «сколько фишинговых писем мы поймали за последний час» отвечает не генерация текста, а расчёт.

Abnormal AI — сервис поведенческой безопасности, защищающий более 25% компаний из списка Fortune 500 — развернул Amazon Bedrock AgentCore Code Interpreter в системах, которые обеспечивают обнаружение почтовых угроз в режиме реального времени. Эти системы уже работают в продакшене: они обрабатывают миллиарды сообщений и исполняют агентский код в том же масштабе, блокируя угрозы до того, как письмо попадёт в почтовый ящик.

Тот же подход компания применяет к собственной разработке: сегодня 80% изменений кода у неё создаётся с участием агента, а 40% — полностью агентами, без участия человека, а не в режиме «AI помог дописать».

Что именно даёт Code Interpreter

Amazon Bedrock AgentCore Code Interpreter — полностью управляемый serverless-рантайм, в котором агент выполняет код динамически. Сессии живут в эфемерных MicroVM с настраиваемым временем жизни: по умолчанию 15 минут, максимум 8 часов для длительных задач.

Изоляция сессий обеспечивается на уровне операционной системы хоста, что снижает риск случайного раскрытия данных между сессиями. Сеть настраивается либо в режиме песочницы с собственной VPC, либо с доступом в публичный интернет; через API можно передать файлы размером до 100 МБ, а для больших наборов данных — подключить Amazon S3.

Из коробки доступны окружения Python и Node.js с типовыми библиотеками для визуализации, статистики и обработки данных, а логи уходят в Amazon CloudWatch и AWS CloudTrail. Ключевая деталь: Code Interpreter предоставляется как API и не диктует агенту рабочий процесс — он даёт коробку, в которой можно запускать команды, загружать файлы и забирать результаты, поэтому встраивается в уже существующую агентскую инфраструктуру без переписывания логики.

Три эшелона: от миллиардов к десяткам тысяч

Письма проходят три уровня обработки, и каждый следующий берёт только те случаи, в которых предыдущий не был уверен. Первый эшелон — лёгкая классификация: небольшие модели, эвристические правила и логистические регрессии разбирают самый большой поток, где запуск больших моделей был бы и избыточен, и слишком дорог.

Сообщения, в которых первый уровень не уверен, уходят на второй эшелон — глубокие модели машинного обучения, которые анализируют больше поведенческих сигналов.

Самые сложные случаи, обычно требующие живого аналитика, обрабатывают inline-агенты третьего эшелона: они получают данные threat intelligence, пишут скрипты прямо в песочнице, оценивают, как находка вписывается в общую поведенческую модель, и выносят вердикт. Ошибки классификации разбирает отдельная система, которая учится и улучшает контур, а сам живой контур проверяют несколько систем мониторинга.

Агент-аналитик и задачи длиной в сутки

Кроме потока реального времени у Abnormal AI работает batch-агент-аналитик: он забирает ошибки классификации и сигналы настройки из конвейера детекции, ищет закономерности на больших массивах писем и сам пишет черновики эвристик для первого эшелона и улучшения моделей для второго.

Нагрузка — порядка 100 batch-задач в неделю, и сессии Code Interpreter в них живут заметно дольше обычного: больше 30 минут, а иногда операции растягиваются на сутки. Схема такая: сессия считает, состояние сохраняется в файлы, длительная операция — например, обучение модели — выполняется снаружи, после чего Code Interpreter вызывается снова, чтобы обработать результат.

Песочница без выхода в сеть

Abnormal AI выбрала для Code Interpreter конфигурацию sandbox без исходящего доступа к сети, и причин две: воспроизводимость и защита от утечки данных. Без внешней сети ничто за пределами контроля компании не может повлиять на поведение агента внутри сессии, поэтому среда получается полностью детерминированной, а данные threat intelligence не могут быть вынесены наружу даже в том случае, если агент станет злонамеренным из-за prompt injection или стохастического поведения.

Дополнительно компания контролирует, какие данные попадают в Code Interpreter и какие действия записи разрешены, использует изоляцию песочницы поверх собственного сетевого контура для эшелонированной защиты и опирается на действующие отношения с AWS как субпроцессором, что снижает нагрузку по комплаенсу.

Четыре вывода для продакшена

Первый вывод: агенту лучше давать лёгкий общий харнесс, а не жёсткий пошаговый сценарий — высокоуровневые принципы решения задачи и свобода в выборе подхода работают лучше, чем прописанная последовательность шагов.

Второй: песочница нужна не только кодовым агентам — security-агентам она требуется для агрегации данных, анализа паттернов и проверки результатов. Третий: программные верификаторы вроде юнит-тестов, интеграционных тестов и линтеров дают агенту возможность проверить себя внутри песочницы до выдачи финального результата.

Четвёртый: для операций, которые длиннее сессии Code Interpreter, файловая система служит точкой восстановления — считать в песочнице, сохранять состояние в файлы, выполнять долгую операцию снаружи и снова вызывать Code Interpreter для обработки результата; именно так работает агент-аналитик с суточными задачами обучения моделей.