AWS Dogwood donne une mémoire aux garde-fous des agents IA

AWS Dogwood comble une lacune de sécurité critique dans la gouvernance des agents IA : un agent peut appeler des outils avec une syntaxe valide et des autorisations individuelles valides, mais la séquence des appels peut toujours violer les règles métier. Par exemple, traiter un paiement avant de créer une facture est logiquement incorrect, même si chaque action est autorisée individuellement . Dogwood est un langage de gouvernance open-source (Apache 2.0) publié par AWS le 6 août 2026, accompagné d'un interpréteur de référence, conçu pour autoriser des séquences d'appels d'outils d'agents dans le temps, plutôt que d'évaluer chaque action isolément .

Logique temporelle et fondation MFOTL

Dogwood est fondé sur la logique temporelle et la Metric First-Order Temporal Logic (MFOTL), une branche des mathématiques formelles qui permet de raisonner sur les événements et leurs relations dans le temps . La MFOTL étend la logique temporelle propositionnelle avec la quantification du premier ordre et des contraintes métriques (par exemple, « au cours des 5 dernières minutes »), ce qui permet une surveillance précise en temps réel des séquences d'événements .

Dans Dogwood, la décision d'une politique dépend de l'historique des actions d'un agent au sein d'une session, et non de la seule requête en cours . Le moteur de politique tient un registre des appels d'outils antérieurs et de leurs réponses, puis évalue la requête actuelle par rapport à cet historique avant d'autoriser ou de refuser l'appel .

Extension de Cedar avec des opérateurs temporels

Dogwood étend le langage de politique Cedar (le langage d'autorisation existant d'AWS, datant de 2023) en ajoutant un bloc temporal avec des conditions tenant compte de la session . Les opérateurs temporels clés incluent :

Ces opérateurs permettent à une politique de définir des règles comme « interdire une action de paiement à moins qu'une action de facture n'ait eu lieu formerly », ou « interdire si

sum_within(amount, 1h)

temporal { ... }

Application au niveau de la passerelle (à l'épreuve du contournement)

Les politiques temporelles sont appliquées au niveau de la couche AgentCore Gateway, à l'extérieur du code de l'agent . La passerelle intercepte chaque appel d'outil en temps réel avant qu'il n'atteigne l'outil cible, évalue la politique par rapport à l'historique complet des événements de la session, puis autorise ou refuse l'appel .

Comme la décision d'autorisation a lieu à la périphérie — dans une infrastructure que l'agent ne peut pas modifier — elle ne peut pas être contournée par des manipulations de prompt, un jailbreaking ou tout code contrôlé par l'agent . AWS indique explicitement que les politiques s'exécutent à la « périphérie de la passerelle AgentCore Gateway, en dehors du code propre de l'agent », ce qui les rend résistantes à la réécriture de ses propres instructions par l'agent . Le moteur de politique prend en charge deux modes : LOG_ONLY (audit sans blocage) et ENFORCE (refus actif) .

Intégration au service AWS : Amazon Bedrock AgentCore

Dogwood a été intégré à Amazon Bedrock AgentCore sous la forme de politiques temporelles, annoncées en même temps que la limitation de débit sur la passerelle le 6 août 2026 .

Fonctionnalités actuellement disponibles dans Bedrock AgentCore :

• Politiques temporelles — des règles avec état utilisant Dogwood qui évaluent chaque appel d'outil par rapport à l'historique de la session de l'agent .
• Limitation de débit sur la passerelle — des plafonds de débit de jetons par identité (Basic : 100 RPM, Advanced : 300 RPM) .
• Moteurs de politique — vous créez un moteur de politique, stockez des politiques (Cedar standard et Dogwood temporelles) et l'associez à un agent .
• Budgets par session — par exemple, un plafond de dépenses de 60 000 $ par session appliqué via sum_within .
• Règles de séquencement des workflows — par exemple, exiger une action d'approbation avant une action de paiement .
• Modes log-only et enforce — exécutez les politiques temporelles en mode log-only sur le trafic réel avant de basculer en mode enforce .

Le langage Dogwood et son implémentation de référence sont disponibles sur GitHub sous licence Apache 2.0, séparément du service managé Bedrock AgentCore .