AWS Dogwood: Wie eine Open-Source-Sprache KI-Agenten in die Schranken weist

In Dogwood hängt die Entscheidung einer Policy von der Historie der Aktionen eines Agenten innerhalb einer Sitzung ab, nicht nur von der aktuellen Anfrage . Die Policy-Engine führt ein Protokoll über frühere Tool-Aufrufe und deren Antworten und bewertet dann die aktuelle Anfrage anhand dieser Historie, bevor sie den Aufruf erlaubt oder verweigert .

Erweiterung von Cedar um temporale Operatoren

Dogwood erweitert die Cedar-Policy-Sprache (AWS‘ bestehende Autorisierungssprache aus dem Jahr 2023) um einen temporal-Block mit sitzungsbewussten Bedingungen . Zu den wichtigsten temporalen Operatoren gehören:

Diese Operatoren ermöglichen es einer Policy, Regeln zu definieren wie „Zahlungsaktion verbieten, es sei denn, eine Rechnungsaktion ist formerly passiert“ oder „verbieten, wenn

sum_within(betrag, 1h)

temporal { ... }

Durchsetzung auf der Gateway-Ebene (umgehungssicher)

Temporale Policies werden auf der AgentCore-Gateway-Ebene durchgesetzt, außerhalb des eigentlichen Agenten-Codes . Das Gateway fängt jeden Tool-Aufruf in Echtzeit ab, bevor er das Ziel-Tool erreicht, wertet die Policy anhand der vollständigen Ereignishistorie der Sitzung aus und erlaubt oder verweigert dann den Aufruf .

Da die Autorisierungsentscheidung an der Peripherie – in der Infrastruktur, die der Agent nicht ändern kann – getroffen wird, kann sie nicht durch Prompt-Manipulation, Jailbreaking oder anderen Code, den der Agent kontrolliert, umgangen werden . AWS stellt klar, dass die Policies am „AgentCore Gateway Perimeter, außerhalb des eigenen Codes des Agenten“ ausgeführt werden, was sie resistent gegen das Umschreiben eigener Anweisungen durch den Agenten macht . Die Policy-Engine unterstützt zwei Modi: LOG_ONLY (Audit ohne Blockierung) und ENFORCE (aktive Verweigerung) .

AWS-Service-Integration: Amazon Bedrock AgentCore

Dogwood wurde in Amazon Bedrock AgentCore als temporale Policy integriert, zusammen mit dem Gateway-Rate-Limiting am 6. August 2026 angekündigt .

Derzeit verfügbare Funktionen in Bedrock AgentCore:

• Temporale Policies – Zustandsbehaftete Regeln mit Dogwood, die jeden Tool-Aufruf anhand der Sitzungshistorie des Agenten bewerten .
• Gateway-Rate-Limiting – Token-Durchsatzbegrenzungen auf Identitätsebene (Basic: 100 RPM, Advanced: 300 RPM) .
• Policy-Engines – Sie erstellen eine Policy-Engine, speichern Policies (sowohl standardmäßige Cedar- als auch temporale Dogwood-Policies) und verknüpfen sie mit einem Agenten .
• Pro-Sitzungs-Budgets – Z.B. ein Ausgabenlimit von 60.000 $ pro Sitzung, durchgesetzt mit sum_within .
• Workflow-Sequenzierungsregeln – Z.B. eine Genehmigungsaktion vor einer Zahlungsaktion erforderlich machen .
• Log-Only- und Enforce-Modi – Temporale Policies zunächst im Log-Only-Modus gegen echten Traffic laufen lassen, bevor auf Enforcement umgeschaltet wird .

Die Dogwood-Sprache und ihre Referenzimplementierung sind auf GitHub unter Apache 2.0 verfügbar, getrennt vom verwalteten Bedrock-AgentCore-Dienst .