AWS Dogwood：AIエージェントの連続ツール呼び出しを時間軸で認可する新言語

Dogwoodのポリシーは、現在のリクエストだけでなく、セッション内におけるエージェントの行動履歴全体を考慮して判断を下します。ポリシーエンジンは過去のツール呼び出しとその応答を記録し、履歴に照らし合わせてから現在の呼び出しを許可または拒否します。

Cedar言語を拡張する時間演算子

Dogwoodは、AWSが2023年にリリースした既存の認可用言語Cedarを拡張し、temporalブロックを用いたセッション認識条件を追加したものです。主な時間演算子は以下の通りです。

これらの演算子により、「支払いアクションは、formerly（過去に）請求書アクションが発生していなければ禁止する」といったルールや、「

sum_within(amount, 1h)

temporal { ... }

ゲートウェイ層での強制力（バイパス不可能）

時間ポリシーは、エージェントのコードの外部にあるAgentCore Gateway層で強制実行されます。ゲートウェイはすべてのツール呼び出しをリアルタイムで傍受し、セッション全体のイベント履歴に対してポリシーを評価してから、呼び出しを許可または拒否します。

この認可判断は、エージェントが変更できないインフラ（境界）で行われるため、プロンプト操作、ジェイルブレイク、エージェントが制御するコードによって回避することは原理的に不可能です。AWSは、ポリシーが「AgentCore Gatewayの境界、エージェント自身のコードの外側」で実行されると明言しており、エージェントが自身の指示を書き換えても影響を受けません。ポリシーエンジンは、ブロックせずに監査のみを行うLOG_ONLYモードと、積極的に拒否するENFORCEモードの2つをサポートしています。

AWSサービス統合：Amazon Bedrock AgentCore

Dogwoodは、2026年8月6日に発表されたAmazon Bedrock AgentCoreに時間ポリシー（Temporal Policies） として統合されています。これと同時に、ゲートウェイでのレート制限機能も発表されました。

Bedrock AgentCoreで現在利用可能な機能:

• 時間ポリシー — Dogwoodを使用したステートフルなルール。各ツール呼び出しをエージェントのセッション履歴に照らして評価します。
• ゲートウェイでのレート制限 — 単位時間あたりのトークン処理量（スループット）をID単位で制限（Basic: 100 RPM、Advanced: 300 RPM）。
• ポリシーエンジン — ポリシーエンジンを作成し、標準のCedarポリシーと時間Dogwoodポリシーの両方を保存、エージェントに関連付けます。
• セッション単位の予算管理 — 例として、sum_withinを使ってセッションあたり60,000ドルの支出上限を強制することができます。
• ワークフロー順序ルール — 例として、支払いアクションの前に承認アクションを必須とします。
• ログのみ/強制モード — 本番適用前に、時間ポリシーをログのみモードで実際のトラフィックに対してテストし、その後で強制モードに切り替えることができます。

Dogwood言語とそのリファレンス実装は、マネージドサービスであるBedrock AgentCoreとは別に、GitHub上でApache 2.0ライセンスのもと公開されています。