AWS Dogwood, AI 에이전트의 '올바른' 오류까지 차단하는 시계열 정책 언어 공개

Dogwood에서 정책의 결정은 현재 요청만이 아닌 세션 내 에이전트 작업의 기록에 따라 달라집니다. 정책 엔진은 이전 도구 호출과 그 응답의 기록을 유지한 후, 현재 요청을 해당 기록과 비교하여 허용 또는 거부를 결정합니다.

Cedar 확장과 시간 연산자

Dogwood는 Cedar 정책 언어(AWS가 2023년 출시한 기존 인가 언어)를 확장하여 세션 인식 조건이 포함된 temporal 블록을 추가합니다. 주요 시간 연산자는 다음과 같습니다.

이러한 연산자를 통해 정책은 '송장 작업이 이전에 발생하지 않으면 결제 작업 금지' 또는 '

sum_within(amount, 1h)

temporal { ... }

게이트웨이 계층 강제 실행 (우회 불가)

시간 정책은 에이전트 자체 코드 외부의 AgentCore 게이트웨이 계층에서 강제 실행됩니다. 게이트웨이는 모든 도구 호출을 대상 도구에 도달하기 전에 실시간으로 가로채고, 세션의 전체 이벤트 기록에 대해 정책을 평가한 후 호출을 허용하거나 거부합니다.

인가 결정이 에이전트가 수정할 수 없는 인프라 경계에서 이루어지기 때문에 프롬프트 조작, 탈옥 또는 에이전트가 제어하는 모든 코드로도 우회할 수 없습니다. AWS는 정책이 '에이전트 자체 코드 외부의 AgentCore 게이트웨이 경계'에서 실행된다고 명시하며, 이는 에이전트가 자체 지시를 다시 작성하는 것에도 저항력을 갖게 합니다. 정책 엔진은 LOG_ONLY(차단 없이 감사)와 ENFORCE(적극적 거부)의 두 가지 모드를 지원합니다.

AWS 서비스 통합: Amazon Bedrock AgentCore

Dogwood는 2026년 8월 6일 Amazon Bedrock AgentCore에 **시간 정책(temporal policies)**으로 통합되었으며, 게이트웨이 속도 제한도 함께 발표되었습니다.

Bedrock AgentCore에서 현재 사용 가능한 기능:

• 시간 정책 — Dogwood를 사용하는 상태 저장 규칙으로, 각 도구 호출을 에이전트의 세션 기록과 비교하여 평가
• 게이트웨이 속도 제한 — ID별 토큰 처리량 상한(기본: 100RPM, 고급: 300RPM)
• 정책 엔진 — 정책 엔진을 생성하고, 정책(표준 Cedar 및 시간 Dogwood 모두)을 저장한 후 에이전트와 연결
• 세션별 예산 — 예: sum_within을 통해 적용되는 세션당 $60,000 지출 상한
• 워크플로 시퀀싱 규칙 — 예: 결제 작업 전 승인 작업 필요
• 로그 전용 및 적용 모드 — 실제 트래픽에 대해 로그 전용 모드로 시간 정책을 먼저 실행한 후 적용으로 전환

Dogwood 언어와 참조 구현은 Bedrock AgentCore 관리 서비스와 별도로 GitHub에서 Apache 2.0 라이선스로 제공됩니다.