Bedrock AgentCoreの時間的ポリシー、AIエージェントの状態を踏まえた認可を実現

何が発表されたか

Amazon Web Services（AWS）は2026年8月6日、Amazon Bedrock AgentCoreに「時間的ポリシー（temporal policies）」を追加すると発表した。これはAIエージェントのセッション内で過去に実行されたアクションの並び（トレイジャクトリ）を評価し、現在のリクエストを許可するかどうかを判断する認可機能である。

AgentCore Gatewayの境界で動作するため、エージェント自身のコードの外側でポリシーが強制される。エージェントがどのようにツールを呼び出そうと、ポリシーを傍受したり改変したりすることはできない。これにより、エージェントの予測不能な挙動に対しても、安定したセキュリティ制御を適用できるとしている。

従来の認可の限界

従来のAgentCore Policyは、各リクエストを独立したイベントとして扱い、ステートレスで決定論的なルールに基づいて認可を行っていた。しかしAIエージェントは実行時にツールの呼び出し順序や引数を自律的に決めるため、単体では安全でも、直前のアクションとの組み合わせで危険になるケースが生じる。

記事では具体例として、顧客情報を検索した後に別の口座番号を幻覚して送金する、ループ内で過剰な取引を実行する、同一の保険請求を承認と拒否の両方を行う、といった問題が挙げられている。これらのいずれも、個々の呼び出しはステートレスなチェックを通過するが、トレイジャクトリ全体を見ると重大な問題となる。

仕組みの詳細

時間的ポリシーは、AgentCore Gatewayを通過するトラフィックを対象に動作する。ゲートウェイがModel Context Protocol（MCP）によるツール呼び出しやエージェント間通信、モデル推論呼び出しを単一のエンドポイントで処理するため、これらすべてを同じポリシーで統制できる。リクエストにはセッションIDが含まれ、ポリシーエンジンはセッション内のイベント履歴を参照してALLOWまたはDENYを返す。

セッションはIDとエンドユーザーの識別情報の組み合わせで一意になる。同じセッションIDでも異なるユーザーが使えば別のセッションとして扱われる。また、トレイジャクトリの参照期間は最大24時間で、古いイベントは自動的に削除される。ポリシーが変更された場合は既存セッションが無効化され、常に最新のポリシーとスキーマで評価される。

金融サービスのユースケース

記事では、富裕層向けポートフォリオ管理エージェントを例に、時間的ポリシーの具体的な適用方法を説明している。アドバイザーはクライアント情報の取得、ポートフォリオ読み込み、市況価格の取得、分析、取引実行を行う。これに対し、コンプライアンス要件として、取引前にクライアント情報とポートフォリオの取得を必須にする、取引のportfolio_idを事前の取得結果と一致させる、取得から1分以内の価格を使用する、などが挙げられている。

さらに、1セッションの累計取引額を6万ドルまでに制限する、2万5000ドル超の取引には1回の人間承認を必要とする、同じ証券を損失で買い戻すことを禁止する、15分間アドバイザーの操作がなければ書き込み操作を失効させる、というルールも設定する。これらはすべて、ゲートウェイ上のポリシーだけで実現でき、エージェントのコード変更は不要である。

実装上の注意点

時間的ポリシーの記述には、新しいオープンソースのポリシー言語「Dogwood」を使用する。Dogwoodは既存のCedarポリシーと互換性があり、移行せずにそのまま利用できる。ただし、既存のポリシーエンジンをENFORCEモードからLOG_ONLYモードに変更すると、セキュリティルールが強制されなくなるため、本番環境では推奨されないとしている。

また、すべてのリクエストにセッションIDヘッダー（x-amzn-bedrock-agentcore-policy-session-id）を付与する必要がある。セッションの定義はアプリケーション側で柔軟に決められるが、同時に1セッションで並行する認可リクエストは1つだけなので、セッションのスコープはできるだけ狭くすべきだと述べている。