Как подружить ИИ-агентов с облаком AWS без боли и лишних конфигов

Знакомая ситуация: вы просите Cursor или Claude Code развернуть простенькую лямбду или проверить логи в CloudWatch, а в ответ получаете извинения или галлюцинации про несуществующие параметры SDK. ИИ-помощники отлично пишут код, но когда дело доходит до реальной инфраструктуры AWS, они часто ведут себя как стажеры в первый рабочий день. Им не хватает контекста, прав доступа и понимания того, как устроены три сотни сервисов Amazon.

Недавно AWS выкатили Agent Toolkit — набор инструментов, который превращает обычного ИИ-агента в облачного инженера. Это не просто библиотека, а мост между LLM и вашим аккаунтом AWS, построенный на протоколе MCP (Model Context Protocol).

Зачем это нужно в вашем IDE

Если вы пользуетесь Cursor, Claude Code или Codex, то знаете, как неудобно переключаться между редактором и консолью AWS. Agent Toolkit решает эту проблему, давая агенту «руки» для работы с облаком.

Проект пришел на смену разрозненным наработкам из AWS Labs. Теперь это официальное решение с поддержкой безопасности корпоративного уровня. Главная фишка здесь — использование протокола MCP. Это значит, что агент не просто гадает, как вызвать API, а получает четкое описание инструментов, документацию и даже изолированную среду для запуска проверочных скриптов.

Что внутри набора

Разработчики разделили возможности на несколько логических блоков. Можно не тащить всё сразу, а подключить только то, что нужно для текущей задачи.

Базовый плагин aws-core

Это фундамент. С ним агент начинает понимать CDK, CloudFormation и основы серверлесс-архитектуры. Если нужно развернуть контейнер или разобраться, почему счет за биллинг вырос в два раза, начинать стоит именно отсюда. Он покрывает хранилище S3, базы данных и инструменты мониторинга.

Инструменты для аналитики и ИИ

Плагин aws-agents помогает собирать других агентов внутри AWS через Amazon Bedrock. А aws-data-analytics пригодится тем, кто возится с ETL-процессами, Glue и Athena. Агент сможет сам просканировать схему данных в S3 Tables и предложить оптимальный запрос.

Безопасность и DevSecOps

Самый интересный блок — aws-agents-for-devsecops. Он умеет расследовать инциденты, сканировать код на уязвимости и даже проводить базовые тесты на проникновение. По сути, вы даете агенту доступ к AWS Security Agent, и он начинает следить за порядком в инфраструктуре.

Как это работает под капотом

В основе лежит AWS MCP Server. Это управляемый слой, который берет на себя всю грязную работу:

1. Доступ к API. Агент получает доступ к 300+ сервисам через одну точку входа.
2. Песочница для Python. Агент может написать скрипт для сложной миграции данных и тут же выполнить его в изолированном окружении.
3. Живая документация. Вместо того чтобы полагаться на знания из обучающей выборки (которые могли устареть), агент ищет актуальные справки прямо в AWS Documentation в реальном времени.

Интересный момент с безопасностью: AWS добавили специальные IAM condition keys. Можно настроить политики так, что действия, разрешенные человеку, будут запрещены агенту. Например, разрешить ИИ только чтение данных, даже если у самого разработчика есть права на запись. Все действия агента пишутся в CloudTrail, так что «случайно» удаленный продакшн-кластер не останется незамеченным.

Как запустить у себя

Проще всего владельцам Claude Code. Установка плагина делается одной командой прямо в чате:

/plugin install aws-core@claude-plugins-official

Для Cursor процесс чуть дольше: нужно зайти в настройки плагинов и добавить репозиторий aws/agent-toolkit-for-aws как Team Marketplace. После этого в панели появятся доступные плагины.

Если вы используете Kiro или другие инструменты, поддерживающие MCP, придется немного поправить конфиг, указав параметры сервера:

{
  "mcpServers": {
    "aws": {
      "command": "uvx",
      "args": [
        "mcp-proxy-for-aws@1.6.2",
        "https://aws-mcp.us-east-1.api.aws/mcp",
        "--metadata", "AWS_REGION=us-west-2"
      ]
}

Для работы понадобится установленный пакетный менеджер uv и настроенные локально креды AWS.

Стоит ли пробовать

Проект выглядит как маст-хэв для тех, кто плотно сидит на AWS и уже не представляет жизни без ИИ-помощников. Главный плюс — актуальность данных. Больше не нужно копипастить ошибки из терминала в чат, агент сам видит состояние ресурсов.

Из минусов: документация в самом репозитории пока довольно лаконичная, за подробностями часто приходится ходить в официальный User Guide на сайте AWS. Также стоит помнить, что за вызовы API и работу MCP-сервера может капать небольшая копеечка в биллинге, так что за лимитами лучше присматривать.

Если вы устали вручную проверять статус деплоя или писать однотипные политики доступа, Agent Toolkit сэкономит вам кучу времени. Это хороший пример того, как ИИ из «подсказчика кода» превращается в полноценного оператора инфраструктуры.