AWS-verktøyet TOLAP skjuler kolonner og rader før KI-agenten ser dataene

IAM og OAuth avgjør om en agent får kalle et verktøy. De sier ingenting om hvilke kolonner og rader akkurat denne brukeren skal se når agenten selv komponerer spørringen. Det gapet vil Amazon Web Services tette med TOLAP (Tool-Object Level Access Protocol), som AWS Open Source Blog lanserte denne uken: et versjonert policyskjema, SDK-er for .NET, Python og TypeScript, en referanse-policyserver med konsoll og 14 integrasjoner mot rammeverk som LangChain, Mastra og OpenAI Agents.

Policyen kjører etter at verktøyet har hentet dataene og før resultatet krysser grensen til agenten. Eksempelpolicyen for helsedata fjerner SSN-kolonnen helt, returnerer e-post som SHA-256-hash, viser navnet som J* og slipper bare gjennom rader fra to regioner. Har en bruker flere policyer, slås de sammen etter prinsippet om at den strengeste vinner, så en ekstra policy kan bare gi mindre innsyn. Kontrasten til guardrails er poenget:

«Guardrails begrenser hva modellen sier. De virker på output, noe som betyr at de ubegrensede dataene allerede lå i kontekstvinduet da de kjørte.» — AWS Open Source Blog

Nytt er formålsbinding: en policy kan knyttes til et erklært formål med tillatte og forbudte handlinger, og en kjede fra menneske til agent til underagent kan bare snevre inn tilgangen.

TOLAP beskytter bare kall som går gjennom wrapperen, og er ingen MCP-server, men en innpakning rundt funksjonen verktøyet ditt allerede kaller. Bloggen sier pakkene er publisert, men i dag finner du bare Python-pakkene tolap-core, tolap-store og tolap-mcp i versjon 1.0.0 på PyPI. npm-navnet @tolap/core og NuGet-pakken Tolap.Core gir 404, og README-en sier at SDK-ene bygges fra kildekoden.

Hva bør du gjøre?

1. Installer Python-pakkene fra PyPI, eller bygg alle tre språk med ./tools/build-local.sh, og start med eksempelet i examples/ som ligner rammeverket ditt.
2. Skriv policyen mot det faktiske skjemaet: ifølge README-en beskytter hiddenFields: ["ssn"] ingenting hvis kolonnen egentlig heter ssn_number, og TOLAP merker det ikke.
3. Sørg for at wrapperen er eneste vei til dataene, og hold levetiden på signerte kontekster kort, siden de uten replay-vakten kan gjenbrukes til de utløper.