AWSは、Amazon Bedrock AgentCoreのgatewayにtemporal policiesとrate limitingを追加したと発表しました。DogwoodというApache 2.0のオープンソースポリシー言語を使い、個別アクションだけでなく、セッション内の順序、累計支出、承認の有無、接続時間やトークン消費を制御します。 本番エージェントの統制は、プロンプトやアプリコード内の注意書きでは足りません。ID、権限、コスト上限、順序制約をゲートウェイ層で検証する設計が実務要件になります。 AgentCore gatewayが行動の連なりを制御対象にする AWSは2026年8月6日、Amazon Bedrock AgentCoreのgatewayにtemporal policiesとrate limitingを追加したと発表しました。AgentCoreは、AI agentsを構築、接続、最適化するための基盤です。今回の更新では、個別のツール呼び出しが正当かどうかだけでなく、同じセッション内でエージェントがそれまでに何をしたかを見て、次の実行を許可または拒否できるようにします。AWSは、信頼とセキュリティがエージェント拡大の制約になっていると説明しています。 Dogwoodが順序、累計、承認条件を表現する temporal policiesは、Dogwoodという新しいポリシー言語で実装されます。DogwoodはCedarを土台にし、AI agents向けに時間的な構文を加えたもので、Apache 2.0のオープンソース仕様とreference implementationとして提供されます。ポリシーでは、前の呼び出しで返された値と次の送金先が一致すること、セッション内の累計購入額が予算を超えないこと、重要操作の前に人の承認が記録されていることなどを扱えます。 rate limitingはリクエスト、トークン、接続時間を対象にする AWSはgateway上でのrate limitingも提供します。OAuthやIAMで管理されるユーザー単位で、gatewayの背後にあるツール、モデル、エージェント全体に消費上限を設定できます。制御対象は、リクエスト数、モデルが処理するトークン数、接続を保持する時間です。retry loop、推論量の多いタスク、長い調査セッションではコストの出方が異なるため、複数の尺度で上限を持たせる設計になっています。 統制をアプリコードからプラットフォームへ移す エージェントの自律性が高まるほど、プロンプト内の注意書きや個別アプリの実装だけで境界を守るのは難しくなります。AWSは、temporal policiesがgateway層で強制され、エージェント自身からはポリシーの論理が見えないと説明しています。導入側は、エージェントを信用するのではなく、ID、権限、順序、コスト、監査ログをプラットフォームで検証する前提に変える必要があります。既存エージェントを大きく作り直さず採用できる点も実務上の判断材料です。部門ごとに違う上限や承認条件を持たせる設計も検討しやすくなります。失敗時のdeny理由を残せる点も監査に効きます。まず高リスクツールから適用するのが現実的です。検証も要ります。