Bedrock AgentCoreが時間的ポリシーとレート制限を追加、エージェントの行動とコストを制御

エージェントの信頼とセキュリティ課題

エージェントの自律性が高まり、多数のエージェントが並行して稼働するようになった一方で、信頼とセキュリティ対策は追いついていません。McKinseyの調査によると、約80%の組織がAIエージェントによるリスクのある行動をすでに経験しています。このため、セキュリティとリスクへの懸念が、エージェントAIの本格展開を妨げる主な要因となっています。

従来のガードレールは、決まった動作をするソフトウェアを前提に設計されてきました。しかしエージェントは自らの判断で行動するため、個々のアクションは許可範囲内でも、一連の行動として全体を見ると問題が生じることがあります。例えば、顧客情報の照会後に別の口座への送金を実行する、承認閾値を下回る注文を繰り返す、失敗したツールを夜通し再試行してトークン予算を消費する、といった事例が考えられます。

時間的ポリシーとDogwood

AgentCoreでは、セキュリティ制御をアプリケーションコードではなく、インフラストラクチャ層に配置するという原則を掲げています。新機能の時間的ポリシーは、個々のリクエストを単独で判定するのではなく、セッション内でエージェントが実行した一連のアクションを評価します。これにより、前の呼び出しで返された値と一致しない送金をブロックしたり、予算に達した後に購入を止めたり、アクションの順序を強制したりできます。

時間的ポリシーの評価は、Cedarを基盤にしたDogwoodという新しいポリシー言語で記述されます。Dogwoodには、AIエージェント向けのレート制限、時間枠、前提となるステップ、エスカレーションのトリガーといった時間的構文が組み込まれています。DogwoodはApache 2.0のオープンソース仕様として公開され、ポリシーの評価方法をユーザーが完全に把握できます。

ゲートウェイでのレート制限

AI利用のコスト管理もガバナンスの重要な側面です。エージェントはタスクの進め方を自ら決めるため、コストがあらかじめ決まったレートで発生するわけではありません。レート制限は、ゲートウェイを通過するすべての呼び出しに対して、ユーザーごとにリクエスト数、トークン数、接続時間の上限を設定できる機能です。OAuthやIAMで管理されている既存のIDを利用できるため、認証基盤を追加する必要はありません。

これらの制限は1秒単位と1分単位のウィンドウで適用され、設定後すぐに有効になります。エージェントのコードを変更する必要はなく、プラットフォームチームがユーザー、チーム、ツール、モデルごとに異なる上限を設定できます。これにより、リトライループや異常に長いセッションによる予期しないコスト増加を防ぐことができます。

導入と既存システムへの影響

新しい機能は、すでに本番稼働しているエージェントを再設計することなく、単独で導入できます。AgentCoreのゲートウェイは、フルマネージドなサーバーレスエントリポイントであり、MCPサーバー、LLM、エージェント、ナレッジベースへのトラフィックをルーティングします。すべての呼び出しがゲートウェイを通過するため、そこで制御を強制できる仕組みです。

このアプローチでは、各エージェントのアプリケーションコードにセキュリティロジックを実装する必要性がなくなり、一貫したポリシーをプラットフォーム全体で適用できます。承認プロセスは一度設定すれば、新しいエージェントにも同じ制御が自動的に適用されます。これは、自律性を拡張しながらもガバナンスを維持する方法として有効です。

今後の展望と注意点

モデルの性能向上に伴い、エージェントはより高度な自律行動を取るため、システム全体の信頼性がこれまで以上に重要になります。著者の考えでは、エージェントへの信頼はモデルそのものではなく、そのモデルが動作するシステムが、予期しない挙動に対してしっかりと耐えられるかどうかで決まります。

新機能はゲートウェイでの制御を強化するもので、アイデンティティ、可観測性、評価、トレーサビリティへの継続的な投資も進められています。具体的な設定方法や価格については、ドキュメントや価格ページを確認する必要があります。また、時間的ポリシーは新しい概念であるため、運用上のベストプラクティスが確立されるには時間がかかるとみられます。