AWS Dogwood: A linguagem de governança open-source que dá memória aos agentes de IA

AWS Dogwood fecha uma lacuna crítica de segurança na governança de agentes de IA: um agente pode chamar ferramentas com sintaxe válida e permissões individuais válidas, mas a sequência de chamadas ainda pode violar regras de negócio. Por exemplo, processar um pagamento antes de uma nota fiscal ser criada é logicamente errado, mesmo que cada ação seja individualmente permitida . Dogwood é uma linguagem de governança open-source (Apache 2.0) desenvolvida especificamente para esse fim, lançada pela AWS em 6 de agosto de 2026, junto com um interpretador de referência, projetada para autorizar sequências de chamadas de ferramentas de agentes ao longo do tempo, em vez de avaliar cada ação isoladamente .

Lógica Temporal e Fundação MFOTL

Dogwood é baseada em lógica temporal e Lógica Temporal de Primeira Ordem com Métricas (MFOTL), um ramo da matemática formal que permite raciocinar sobre eventos e suas relações ao longo do tempo . A MFOTL estende a lógica temporal proposicional com quantificação de primeira ordem e restrições métricas (por exemplo, "nos últimos 5 minutos"), permitindo o monitoramento preciso em tempo real de sequências de eventos .

No Dogwood, a decisão de uma política depende do histórico das ações de um agente dentro de uma sessão, e não apenas da requisição atual . O mecanismo de políticas mantém um registro das chamadas de ferramentas anteriores e suas respostas, e então avalia a requisição atual contra esse histórico antes de permitir ou negar a chamada .

Estendendo o Cedar com Operadores Temporais

Dogwood estende a linguagem de políticas Cedar (linguagem de autorização existente da AWS desde 2023) adicionando um bloco temporal com condições cientes da sessão . Os principais operadores temporais incluem:

Esses operadores permitem que uma política defina regras como "proibir uma ação de pagamento a menos que uma ação de nota fiscal tenha acontecido anteriormente", ou "proibir se

sum_within(amount, 1h)

temporal { ... }

Imposição na Camada de Gateway (À Prova de Bypass)

As políticas temporais são impostas na camada do Gateway do AgentCore, fora do código do próprio agente . O gateway intercepta cada chamada de ferramenta em tempo real antes que ela atinja a ferramenta de destino, avalia a política contra o histórico completo de eventos da sessão e, em seguida, permite ou nega a chamada .

Como a decisão de autorização acontece no perímetro — em uma infraestrutura que o agente não pode modificar — ela não pode ser contornada por manipulação de prompt, jailbreaking ou qualquer código que o agente controle . A AWS afirma explicitamente que as políticas são executadas no "perímetro do Gateway do AgentCore, fora do código do próprio agente", tornando-as resistentes à reescrita de suas próprias instruções pelo agente . O mecanismo de política suporta dois modos: LOG_ONLY (auditoria sem bloqueio) e ENFORCE (negar ativamente) .

Integração com o Serviço AWS: Amazon Bedrock AgentCore

Dogwood foi integrada ao Amazon Bedrock AgentCore como políticas temporais, anunciadas juntamente com a limitação de taxa no gateway em 6 de agosto de 2026 .

Recursos atualmente disponíveis no Bedrock AgentCore:

• Políticas temporais — regras com estado usando Dogwood que avaliam cada chamada de ferramenta contra o histórico de sessão do agente .
• Limitação de taxa no gateway — limites de throughput de tokens por identidade (Básico: 100 RPM, Avançado: 300 RPM) .
• Mecanismos de política — você cria um mecanismo de política, armazena políticas (tanto Cedar padrão quanto Dogwood temporal) e o associa a um agente .
• Orçamentos por sessão — por exemplo, um limite de gastos de US$ 60.000 por sessão imposto via sum_within .
• Regras de sequenciamento de fluxo de trabalho — por exemplo, exigir uma ação de aprovação antes de uma ação de pagamento .
• Modos somente registro e imposição — execute políticas temporais no modo somente registro contra tráfego real antes de alternar para a imposição .

A linguagem Dogwood e sua implementação de referência estão disponíveis no GitHub sob a licença Apache 2.0, separadas do serviço gerenciado Bedrock AgentCore .