AWS Dogwood lukker kritisk sikkerhedshul i AI-agenters godkendelsesproces

Tidslogik og MFOTL-fundament

Dogwood er forankret i tidslogik og Metric First-Order Temporal Logic (MFOTL), en gren af formel matematik, der muliggør ræsonnement om hændelser og deres relationer over tid . MFOTL udvider propositionel tidslogik med førsteordens kvantificering og metriske begrænsninger (f.eks. 'inden for de sidste 5 minutter'), hvilket muliggør præcis runtime-overvågning af hændelsessekvenser .

I Dogwood afhænger en politiks beslutning af historikken for agentens handlinger i en session, ikke kun af den aktuelle anmodning . Politikmotoren gemmer en oversigt over tidligere værktøjskald og deres svar og vurderer derefter den aktuelle anmodning mod denne historik, før den tillader eller afviser kaldet .

Udvidelse af Cedar med tidsoperatører

Dogwood udvider Cedar-politiksproget (AWS's eksisterende autorisationssprog fra 2023) ved at tilføje en temporal-blok med sessionsbevidste betingelser . De vigtigste tidsoperatører inkluderer:

Disse operatører lader en politik definere regler som 'forbud en betalingshandling, medmindre en fakturahændelse skete tidligere', eller 'forbud, hvis sum_within(amount, 1h) overstiger en tærskel' . En tidsmæssig politik skrives som en standard permit- eller forbid-Cedar-regel, men med betingelser placeret inde i en temporal { ... }-blok .

Gateway-lagshåndhævelse (omgåelsessikker)

Tidsmæssige politikker håndhæves på AgentCore Gateway-laget, uden for agentens egen kode . Gatewayen opsnapper alle værktøjskald i realtid, inden de når målværktøjet, evaluerer politikken mod sessionens fulde hændelseshistorik og tillader eller afviser derefter kaldet .

Fordi autorisationsbeslutningen træffes ved periferien — i infrastruktur, agenten ikke kan ændre — kan den ikke omgås af prompt-manipulation, jailbreaking eller anden kode, agenten kontrollerer . AWS udtaler tydeligt, at politikker kører ved 'AgentCore Gateway-periferien, uden for agentens egen kode', hvilket gør dem modstandsdygtige over for agenten, der omskriver sine egne instruktioner . Politikmotoren understøtter to tilstande: LOG_ONLY (revision uden blokering) og ENFORCE (aktivt afvis) .

AWS-serviceintegration: Amazon Bedrock AgentCore

Dogwood er blevet integreret i Amazon Bedrock AgentCore som tidsmæssige politikker, annonceret sammen med gateway-hastighedsbegrænsning den 6. august 2026 .

I øjeblikket tilgængelige funktioner i Bedrock AgentCore:

• Tidsmæssige politikker — tilstandsbevidste regler, der bruger Dogwood til at evaluere hvert værktøjskald mod agentens sessionshistorik .
• Gateway-hastighedsbegrænsning — token-gennemløbslofter på en pr. identitet-basis (Basic: 100 RPM, Advanced: 300 RPM) .
• Politikmotorer — du opretter en politikmotor, gemmer politikker (både standard Cedar og tidsmæssige Dogwood) og tilknytter den til en agent .
• Budgetter pr. session — f.eks. et $60.000 pr. session-udgiftsloft håndhævet via sum_within .
• Regler for arbejdsgangssekvensering — f.eks. kræv en godkendelseshandling før en betalingshandling .
• Log-only og enforce-tilstande — kør tidsmæssige politikker i log-only-tilstand mod rigtig trafik, før du skifter til håndhævelse .

Dogwood-sproget og dets referenceimplementering er tilgængelige på GitHub under Apache 2.0, adskilt fra den administrerede Bedrock AgentCore-service .