AWS publicou às 23:00 UTC de 19 de agosto que o Web Search no Amazon Bedrock ganhou um parâmetro external_web_access, permitindo que a ferramenta de busca do lado do servidor, integrada ao produto, busque conteúdo ao vivo na internet pública em vez de usar apenas o índice da web dentro da AWS da Amazon. O valor padrão do parâmetro é true.

O que a página diz

Para ativá-lo, a AWS orienta os clientes a conceder a permissão IAM bedrock-websearch:ExternalWebAccess à identidade que faz a requisição e "deixar o parâmetro external_web_access no valor padrão de true." Com isso ativado, o Web Search "pode então buscar conteúdo ao vivo na web pública para casos de uso que precisam da informação mais recente possível, como placar esportivo mais recente, preços ao vivo ou documentação recém-lançada." Com isso desativado, o "Web Search entrega resultados apenas do índice da web dentro da AWS e do grafo de conhecimento da Amazon, sem que dados da requisição saiam da fronteira da AWS."

O que a leitura mais comum erra — nos dois sentidos

Isso será apresentado como uma história de capacidade: agentes do Bedrock agora podem pesquisar a web ao vivo. Isso perde o ponto. O Web Search foi lançado no começo deste mês com a promessa de ancorar respostas "enquanto mantém os dados dentro do seu ambiente AWS protegido, com egressão zero de dados" — e a configuração que entrega essa propriedade agora é a que você precisa optar por ativar. False é a saída padrão.

A leitura oposta é igualmente possível e igualmente errada. A AWS não mudou silenciosamente o tráfego de ninguém para a web aberta. Existem duas travas: a permissão IAM precisa ser concedida à identidade que faz a chamada antes que o padrão do parâmetro tenha qualquer efeito. Uma conta que nunca concede bedrock-websearch:ExternalWebAccess permanece inalterada. A exposição fica com organizações que concedem a permissão de forma ampla e presumem que o padrão do parâmetro é conservador.

Três regiões, não todas

O acesso externo à web está disponível em US East (N. Virginia), US East (Ohio) e US West (Oregon). Um item complementar do AgentCore search, publicado cinco minutos antes, lista uma distribuição regional diferente, incluindo Europa e Ásia-Pacífico — recurso diferente, disponibilidade diferente, e os dois não devem ser misturados.

A forma de compliance mudou

O argumento central do Bedrock para empresas, em vez de chamar diretamente um fornecedor de modelo, é a fronteira de dados. Um comprador regulado que aprovou o Web Search com a leitura de que "nada sai da AWS" agora tem um controle cujo padrão segue na direção oposta, e o artefato de compliance saiu de uma configuração no nível da conta para um parâmetro por requisição — algo que um auditor precisa encontrar no código da aplicação, e não no console.