AWS Dogwood: ภาษานโยบายโอเพนซอร์สที่ทำให้ AI Agent มี 'ความทรงจำ' ในการทำงาน

AWS Dogwood ปิดช่องโหว่ด้านความปลอดภัยที่สำคัญในการกำกับดูแล AI Agent: Agent อาจเรียกใช้เครื่องมือด้วยไวยากรณ์ที่ถูกต้องและมีสิทธิ์ส่วนบุคคลที่ถูกต้อง แต่ ลำดับ ของการเรียกใช้อาจละเมิดกฎทางธุรกิจได้ ตัวอย่างเช่น การดำเนินการชำระเงินก่อนที่จะสร้างใบแจ้งหนี้ถือว่าผิดพลาดตามตรรกะ แม้ว่าแต่ละการกระทำจะได้รับอนุญาตก็ตาม Dogwood เป็นภาษานโยบายกำกับดูแลโอเพนซอร์ส (Apache 2.0) ที่พัฒนาโดย AWS เผยแพร่เมื่อวันที่ 6 สิงหาคม 2026 พร้อมกับตัวแปลอ้างอิง (reference interpreter) โดยออกแบบมาเพื่ออนุมัติลำดับการเรียกใช้เครื่องมือของ Agent ในช่วงเวลาต่างๆ แทนที่จะประเมินแต่ละการกระทำแยกกัน

ตรรกะเชิงเวลาและรากฐานของ MFOTL

Dogwood มีรากฐานมาจาก ตรรกะเชิงเวลา (Temporal Logic) และ Metric First-Order Temporal Logic (MFOTL) ซึ่งเป็นสาขาหนึ่งของคณิตศาสตร์เชิงรูปนัยที่ช่วยให้สามารถให้เหตุผลเกี่ยวกับเหตุการณ์และความสัมพันธ์ของเหตุการณ์เหล่านั้นในช่วงเวลาต่างๆ ได้ MFOTL ต่อยอดจากตรรกะเชิงเวลาเชิงประพจน์ (propositional temporal logic) ด้วยการเพิ่มการวัดปริมาณลำดับที่หนึ่ง (first-order quantification) และข้อจำกัดแบบเมตริก (metric constraints) เช่น "ภายใน 5 นาทีที่ผ่านมา" ทำให้สามารถตรวจสอบลำดับเหตุการณ์แบบเรียลไทม์ได้อย่างแม่นยำ

ใน Dogwood การตัดสินใจของนโยบายขึ้นอยู่กับ ประวัติการกระทำของ Agent ภายในเซสชัน ไม่ใช่แค่คำขอปัจจุบันเท่านั้น เอนจินนโยบายจะบันทึกการเรียกใช้เครื่องมือก่อนหน้าและผลลัพธ์ที่ได้ จากนั้นประเมินคำขอปัจจุบันเทียบกับประวัติก่อนที่จะอนุญาตหรือปฏิเสธการเรียกใช้

การขยาย Cedar ด้วยตัวดำเนินการเชิงเวลา

Dogwood ขยาย ภาษา Cedar (ภาษานโยบายการอนุญาตที่มีอยู่แล้วของ AWS ตั้งแต่ปี 2023) โดยการเพิ่มบล็อก temporal ที่มีเงื่อนไขที่รับรู้เซสชัน (session-aware conditions) ตัวดำเนินการเชิงเวลาที่สำคัญได้แก่:

ตัวดำเนินการเหล่านี้ช่วยให้นโยบายกำหนดกฎต่างๆ ได้ เช่น "ห้ามดำเนินการชำระเงินเว้นแต่จะมีการดำเนินการออกใบแจ้งหนี้ เกิดขึ้นก่อนหน้านี้" หรือ "ห้ามหาก

sum_within(amount, 1h)

temporal { ... }

การบังคับใช้ที่ระดับ Gateway (ป้องกันการเลี่ยงผ่าน)

นโยบายเชิงเวลาจะถูก บังคับใช้ที่ชั้น AgentCore Gateway ซึ่งอยู่นอกโค้ดของ Agent Gateway จะสกัดกั้นการเรียกใช้เครื่องมือทุกครั้งแบบเรียลไทม์ก่อนที่จะถึงเครื่องมือเป้าหมาย ประเมินนโยบายเทียบกับประวัติเหตุการณ์ทั้งหมดของเซสชัน จากนั้นจึงอนุญาตหรือปฏิเสธการเรียกใช้นั้น

เนื่องจากการตัดสินใจอนุญาตเกิดขึ้นที่ขอบเขต (perimeter) — ในโครงสร้างพื้นฐานที่ Agent ไม่สามารถแก้ไขได้ — จึง ไม่สามารถเลี่ยงผ่านได้โดยการปรับเปลี่ยนพรอมต์ (prompt manipulation), การเจลเบรก (jailbreaking) หรือโค้ดใดๆ ที่ Agent ควบคุม AWS ระบุอย่างชัดเจนว่านโยบายทำงานที่ "ขอบเขตของ AgentCore Gateway ซึ่งอยู่นอกโค้ดของ Agent" ทำให้ทนทานต่อการที่ Agent เขียนคำสั่งของตัวเองใหม่ เอนจินนโยบายรองรับสองโหมด: LOG_ONLY (ตรวจสอบโดยไม่บล็อก) และ ENFORCE (ปฏิเสธอย่างจริงจัง)

การบูรณาการกับ AWS Service: Amazon Bedrock AgentCore

Dogwood ถูกรวมเข้ากับ Amazon Bedrock AgentCore ในรูปแบบ นโยบายเชิงเวลา (temporal policies) ซึ่งประกาศพร้อมกับ การจำกัดอัตราการเรียกใช้ที่ Gateway (gateway rate limiting) เมื่อวันที่ 6 สิงหาคม 2026

ฟีเจอร์ที่มีอยู่ในปัจจุบันใน Bedrock AgentCore:

• นโยบายเชิงเวลา (Temporal policies) — กฎที่มีสถานะ (stateful rules) ที่ใช้ Dogwood ซึ่งประเมินการเรียกใช้เครื่องมือแต่ละครั้งเทียบกับประวัติเซสชันของ Agent
• การจำกัดอัตราการเรียกใช้ที่ Gateway (Gateway rate limiting) — การจำกัดปริมาณโทเค็นตามข้อมูลประจำตัวแต่ละตัว (Basic: 100 RPM, Advanced: 300 RPM)
• เอนจินนโยบาย (Policy engines) — คุณสร้างเอนจินนโยบาย จัดเก็บทั้งนโยบาย Cedar มาตรฐานและนโยบายเชิงเวลา Dogwood และเชื่อมโยงกับ Agent
• งบประมาณต่อเซสชัน (Per-session budgets) — เช่น วงเงินใช้จ่าย $60,000 ต่อเซสชันที่บังคับใช้ผ่าน sum_within
• กฎการจัดลำดับขั้นตอนการทำงาน (Workflow sequencing rules) — เช่น ต้องมีการดำเนินการอนุมัติก่อนดำเนินการชำระเงิน
• โหมด Log-only และ Enforce — เรียกใช้นโยบายเชิงเวลาในโหมด log-only กับทราฟฟิกจริงก่อน แล้วค่อยเปลี่ยนเป็นการบังคับใช้

ภาษา Dogwood และการใช้งานอ้างอิงมีอยู่ใน GitHub ภายใต้สัญญาอนุญาต Apache 2.0 แยกจากบริการที่จัดการ Bedrock AgentCore