Amazon Bedrock GPT-5.5: routing OpenAI Codex, AWS IAM credentials и model IDs

Frontier-модели OpenAI — GPT-5.5 и GPT-5.4 — а также coding-агент Codex стали общедоступны (GA) на Amazon Bedrock. Для корпоративных команд, оценивающих этот путь, ключевое — не сам доступ к моделям, а архитектура credentials, принципиально несовместимая с тем, как большинство OpenAI API gateway работают сегодня.

Что именно изменилось

До сих пор каждый запрос OpenAI следовал единой credential plane: OPENAI_API_KEY → api.openai.com. Routing-слои, gateway и proxy строились вокруг этого допущения.

Путь через Bedrock заменяет всё это:

• Аутентификация: AWS IAM credentials или Bedrock API key (AWS_BEARER_TOKEN_BEDROCK) — не OPENAI_API_KEY
• Base URL: региональный endpoint Amazon Bedrock, не api.openai.com
• Model ID: openai.gpt-5.5 и openai.gpt-5.4 — строки в namespace AWS, отличные от имён моделей OpenAI
• API-протокол: реализация OpenAI Responses API от Bedrock — схожий интерфейс, но обработчик запросов — Bedrock
• Региональная зависимость: доступность моделей варьируется по регионам AWS; необходимо выбрать регион, где модель активирована

Для Codex изменение конфигурации явное: model_provider = "amazon-bedrock" в ~/.codex/config.toml заменяет существующую конфигурацию OpenAI provider.

Следствие для routing: две credential plane, а не одна

Большинство OpenAI-совместимых gateway сегодня предполагают однородный набор credentials — один API key на provider, один base URL на provider. Путь через Bedrock нарушает это допущение сразу в нескольких точках:

1. OPENAI_API_KEY повторно использовать нельзя. Аутентификация Bedrock — AWS-нативная. Если ваш routing-слой безусловно инжектирует Authorization: Bearer <openai-key> перед проксированием на Bedrock, запрос завершится ошибкой. Credentials должны разрешаться через AWS credential chain (переменные среды, shared credentials file, IAM instance profile, SSO или федеративный credential_process).

2. Namespace model ID отличается. Запрос с gpt-5.5 на Bedrock не разрешится — правильный ID там openai.gpt-5.5. Любая routing-политика, которая маппит логические алиасы моделей на provider-специфичные ID, требует Bedrock-aware таблицы алиасов.

3. Региональный routing добавляет новую переменную. В отличие от глобального api.openai.com, Bedrock endpoint'ы региональны (us-east-1, eu-central-1 и т.д.). Routing-политика должна знать, в каком регионе провижинирована команда, чтобы направить запрос на корректный endpoint — и какие модели там активны.

4. Цены совпадают с OpenAI first-party. Это устраняет мотив ценового арбитража при выборе Bedrock вместо прямого OpenAI. Решение определяется требованиями governance и compliance, а не стоимостью.

Что пока недоступно на Bedrock

Перед маршрутизацией трафика на Bedrock командам следует проверить текущий набор возможностей:

Отсутствие Fast Mode — существенный пробел для latency-sensitive coding agent workflows. Cloud agents — Codex review, security scan, web agent — пока остаются исключительно на инфраструктуре OpenAI.

Что стоит сделать операторам

Проверьте логику инжекции credentials. Если ваш gateway безусловно инжектирует OPENAI_API_KEY во все исходящие запросы, добавьте Bedrock-aware путь, разрешающий AWS credentials через SDK chain.

Добавьте алиасы для Bedrock-моделей. Обновите таблицу алиасов моделей: при целевом provider = Bedrock маппить gpt-5.5 → openai.gpt-5.5. Не отправляйте model ID в namespace OpenAI на Bedrock endpoints.

Закрепите routing per tenant. Поскольку доступность Bedrock варьируется по регионам и провижинингу организаций, маршрутизация на Bedrock должна быть явной политикой на уровне tenant или workspace, а не глобальным дефолтом.

Проверьте feature parity перед миграцией Codex-нагрузок. Если ваша команда использует cloud agents, Fast Mode или hosted plugins, миграция Codex на путь Bedrock сегодня приведёт к молчаливой деградации этих возможностей.

Следите за roadmap Daybreak. OpenAI анонсировал, что Daybreak — их cyber defense модель и Codex Security — также появятся на Bedrock. Security-команды на AWS могут заранее закладывать этот путь при проектировании pipeline secure code review.

Преимущества на уровне governance

Причина, по которой предприятия пойдут этим путём, очевидна: закупки через существующие AWS-аккаунты, резидентность данных в выбранном Bedrock-регионе, единый биллинг, отсутствие per-seat лицензий и контроли AI governance, уже встроенные в Guardrails организации AWS. Для регулируемых отраслей — здравоохранения, финансов, госсектора — это может оказаться единственным реальным путём к развёртыванию GPT-5.5 в production.

Это та же модель, которую мы видели, когда Claude появился на Bedrock и Vertex: модель та же, но операционный контекст — кому принадлежит ключ, кто видит запрос, какие compliance-аттестации применяются — меняется принципиально.

По теме

• Claude Code Auto-Mode на Bedrock, Vertex и Foundry
• Workload Identity и Admin API governance от OpenAI
• OpenAI Codex переходит в on-premises: партнёрство с Dell