AWS Dogwood 開源治理語言：為 AI 代理賦予「記憶」，杜絕序列漏洞

AWS Dogwood 填補了 AI 代理治理中的一個關鍵安全漏洞：代理可能會以有效的語法與有效的個別權限呼叫工具，但這些呼叫的序列仍可能違反業務規則。例如，在發票建立之前就處理付款，即使每個動作都單獨獲得許可，在邏輯上仍是錯誤的 。Dogwood 是 AWS 於 2026 年 8 月 6 日發布的一款專用開源治理語言（Apache 2.0），並附帶參考解釋器，其設計目的是授權跨時間的代理工具呼叫序列，而非孤立地評估每個動作 。

時間邏輯與 MFOTL 基礎

Dogwood 建立在時間邏輯與度量一階時間邏輯（Metric First-Order Temporal Logic, MFOTL） 之上，這是形式數學的一個分支，允許對事件及其跨時間的關係進行推理 。MFOTL 透過一階量化與度量約束（例如「在過去 5 分鐘內」）擴展了命題時間邏輯，從而實現對事件序列的精確運行時監控 。

在 Dogwood 中，政策的決策取決於代理在一個會話內的行動歷史，而非僅當前的請求 。政策引擎會維護先前工具呼叫及其回應的記錄，然後在允許或拒絕呼叫之前，根據該歷史記錄評估當前請求 。

使用時間運算子擴展 Cedar

Dogwood 擴展了 Cedar 政策語言（AWS 自 2023 年起存在的授權語言），加入了包含會話感知條件的 temporal 區塊 。關鍵的時間運算子包括：

這些運算子允許政策定義如「除非 formerly 發生過發票動作，否則拒絕付款動作」，或「如果

sum_within(amount, 1h)

temporal { ... }

閘道層級強制執行（防繞過）

時間政策是在 AgentCore 閘道層強制執行的，位於代理自身程式碼之外 。閘道會即時攔截每一個工具呼叫，在到達目標工具之前，根據會話的完整事件歷史評估政策，然後允許或拒絕該呼叫 。

由於授權決策發生在週邊——即代理無法修改的基礎設施中——因此無法透過提示操縱、越獄攻擊或代理控制的任何程式碼繞過 。AWS 明確指出，政策是在「AgentCore 閘道週邊，代理自身程式碼之外」運行的，這使得它們能夠抵抗代理重寫自身指令的行為 。政策引擎支援兩種模式：LOG_ONLY（僅審計，不阻斷）和 ENFORCE（主動拒絕） 。

AWS 服務整合：Amazon Bedrock AgentCore

Dogwood 已整合到 Amazon Bedrock AgentCore 中，作為時間政策，並於 2026 年 8 月 6 日與閘道速率限制一同宣布 。

Bedrock AgentCore 目前可用的功能：

• 時間政策——使用 Dogwood 的有狀態規則，根據代理的會話歷史評估每個工具呼叫 。
• 閘道速率限制——基於每個身份的代幣吞吐量上限（基本：100 RPM，進階：300 RPM） 。
• 政策引擎——您可以建立政策引擎，儲存政策（包括標準 Cedar 和時間 Dogwood），並將其與代理關聯 。
• 每會話預算——例如，透過 sum_within 強制執行 $60,000 的每會話支出上限 。
• 工作流程排序規則——例如，要求在付款動作之前先有核准動作 。
• 日誌僅用與強制執行模式——在切換到強制執行之前，先以日誌僅用模式針對實際流量運行時間政策 。

Dogwood 語言及其參考實作可在 GitHub 上依 Apache 2.0 許可證取得，與 Bedrock AgentCore 受管服務分開 。