AWS Well-Architected Agent entra em preview com revisão de arquitetura via IA

A AWS anunciou, no AWS News Blog, o preview público do AWS Well-Architected Agent, um serviço que usa IA para analisar o ambiente de nuvem de um cliente e gerar recomendações de custo, segurança, performance e resiliência amarradas aos pilares do Well-Architected Framework. A proposta, segundo a própria AWS, é substituir a checklist genérica e a auditoria manual por um agente que cruza métricas de utilização, configuração de recursos e topologia de aplicação, comparando tudo contra boas práticas de mais de 65 serviços da AWS.

Quem convive com revisões de Well-Architected sabe o custo real do processo hoje: reunir stakeholders, rodar o questionário do AWS Well-Architected Tool, documentar achados e só depois sair caçando quem vai implementar cada correção. O agente ataca diretamente essa parte final, entregando não só o achado mas o pacote de implementação junto.

Como o agente enxerga o ambiente

O fluxo começa na criação de um agent profile no console do Well-Architected. Nele, o arquiteto de soluções ou o engenheiro de DevOps/SRE que cuida da revisão define quais contas AWS e quais Regions o agente deve monitorar, quais pilares priorizar (custo, performance, resiliência, segurança) e que metas de negócio valem para cada pilar.

O acesso aos recursos é feito por IAM roles gerenciadas pelo próprio cliente (customer-managed), que o agente usa para ler configuração de recursos, métricas de utilização do CloudWatch e topologia de aplicação. Não há acesso automático e irrestrito: o setup do IAM é um pré-requisito documentado à parte, e cabe a quem administra a conta decidir o escopo. Depois que o profile é criado, as primeiras recomendações saem em até 24 horas.

Um detalhe que separa o Well-Architected Agent de uma simples varredura de custo é o conceito de application context: o usuário cadastra suas aplicações, associando contas, Regions, serviços e tags específicas. Isso estreita o escopo e, segundo a AWS, aumenta a relevância das recomendações geradas, porque o agente passa a entender que um grupo de recursos pertence a uma mesma aplicação de negócio, e não a analisar instância por instância no vácuo.

Três camadas de recomendação, não uma lista plana

O ponto central do anúncio é que o agente não devolve uma lista achatada de findings desconectados, como relatórios de ferramentas de postura de segurança costumam fazer. Ele organiza a saída em três níveis:

• Recurso individual: achado específico, com impacto em dólar quando aplicável e passo a passo de remediação.
• Consolidado por aplicação: o mesmo tipo de problema agregado entre múltiplos recursos que pertencem à aplicação cadastrada.
• Padrão arquitetural: recomendações de desenho mais amplas, incluindo as mudanças de Infrastructure as Code necessárias para alinhar a arquitetura ao Well-Architected.

Ao abrir uma recomendação específica, o painel mostra por que o agente está sugerindo aquilo, o impacto esperado e os trade-offs entre pilares: uma mudança que melhora custo pode custar resiliência, por exemplo, e a AWS diz que o agente expõe esse cruzamento explicitamente em vez de tratar cada pilar isoladamente.

Remediação: três caminhos, incluindo o CDK

Na prática de quem opera a infraestrutura, a parte que mais muda o dia a dia é a remediação guiada. Ao escolher Start remediation, é possível optar por:

1. Walkthrough no console, passo a passo manual.
2. Mudanças de código prontas para Terraform, AWS CloudFormation ou AWS Cloud Development Kit (CDK).
3. Comandos AWS CLI para aplicar via linha de comando.

No exemplo mostrado no blog, uma recomendação de nível arquitetural chega com a função CDK já modificada, pronta para colar no repositório do projeto. Isso aproxima o agente de um code reviewer de arquitetura: ele não só aponta o problema, entrega o diff.

O Well-Architected Agent também aceita revisão pré-deploy: dá para subir um .zip com um projeto IaC (Terraform, CloudFormation ou CDK) pelo botão Conduct architecture review, escolher o Well-Architected lens a usar e receber a análise antes do workload existir em produção. Para integração com pipeline, a AWS recomenda o AWS MCP Server e plugins de ferramentas de codificação com IA para chamar a API do agente e buscar documentação programaticamente, o que abre caminho para rodar a checagem como parte de CI/CD em vez de só manualmente no console.

Quem pode acessar hoje e o que falta amadurecer

O preview é restrito: as recomendações do AWS Well-Architected Agent só são geradas e acessadas em US East (N. Virginia), US East (Ohio) e US West (Oregon), embora seja possível fazer onboard de workloads hospedados em qualquer Region comercial da AWS, incluindo São Paulo (sa-east-1). Em outras palavras, o workload pode rodar na sa-east-1, mas a análise em si acontece via as Regions do preview.

Outro ponto que muda o cálculo de adoção: o serviço é entregue via AWS Support e está disponível para clientes com um plano de AWS Support ativo, não é um recurso aberto a qualquer conta. A AWS não detalha, no anúncio, quais tiers de suporte (Basic, Developer, Business, Enterprise) dão direito ao recurso, apenas que é preciso ter algum plano de AWS Support contratado.

A própria AWS avisa que as recomendações são geradas por capacidades de IA generativa, que "podem conter erros ou informações incompletas", e que cabe ao cliente avaliar cada recomendação no seu contexto e manter supervisão. Isso é consistente com o trade-off clássico entre operational excellence e velocidade: aceitar uma sugestão de IA sem revisão humana economiza tempo, mas transfere o risco de uma mudança errada para produção.

Generative AI capabilities produce this recommendation, which may contain errors or incomplete information. You are responsible for evaluating the recommendation in your specific context and implementing appropriate oversight and safeguards.

Generative AI capabilities produce this recommendation, which may contain errors or incomplete information. You are responsible for evaluating the recommendation in your specific context and implementing appropriate oversight and safeguards.AWS News Blog, trecho do próprio anúncio do AWS Well-Architected Agent

O que não muda: o Well-Architected Tool continua existindo

Vale frisar que o AWS Well-Architected Tool, o questionário manual que já existia para avaliar arquitetura com lenses definidas pelo próprio usuário, não sai de cena. A AWS é explícita: quem quer medir o workload contra suas próprias boas práticas, com lens customizada e sem depender de IA, continua podendo fazer isso pelo fluxo tradicional.

Na prática, o Agent parece complementar, e não substituir, esse fluxo: ele automatiza a parte de descoberta e priorização contínua, enquanto o Tool manual segue útil para revisões estruturadas, documentadas e com lens própria da organização, que é como muitas empresas fecham auditorias de compliance hoje.

Para quem decide testar agora, o caminho é entrar no console do AWS Well-Architected, criar o agent profile com escopo restrito a uma conta ou aplicação não crítica, e comparar as recomendações com o que uma revisão manual já apontou antes de confiar a remediação de produção ao fluxo automatizado.

Fonte: AWS News Blog