Amazon Web Services fügt Amazon Bedrock AgentCore temporale Richtlinien hinzu und gibt Entwicklern damit eine Möglichkeit, eine aktuelle Aktion eines KI-Agenten auf Basis dessen zu autorisieren, was er zuvor in derselben Sitzung getan hat. Die Kontrolle ist für Workflows gedacht, bei denen ein einzelner Tool-Aufruf harmlos erscheinen kann, aber durch die vorhergehende Sequenz riskant wird.

Die Änderung schließt eine Lücke in herkömmlicher Zugriffskontrolle. Traditionelle Anwendungsberechtigungen bewerten Anfragen oft unabhängig voneinander, während KI-Agenten Laufzeit-Tools, Argumente und Ausführungsreihenfolge selbst auswählen. AWS sagt, dass sein neuer Ansatz erforderliche Workflow-Schritte durchsetzen, die Datenintegrität zwischen Tool-Aufrufen bewahren, das kumulative finanzielle Risiko begrenzen und vor sensiblen Aktionen eine menschliche Freigabe verlangen kann.

Was AWS ändert

AWS beschreibt temporale Richtlinien als zustandsbehaftete Erweiterung der bestehenden Richtlinienkontrollen in Bedrock AgentCore. Anstatt nur zu fragen, ob ein Prinzipal ein bestimmtes Tool aufrufen darf, kann die Policy-Engine die jüngste Trajektorie des Agenten prüfen und entscheiden, ob die aktuelle Anfrage in diesem Kontext autorisiert ist.

Ein Agent könnte zum Beispiel ein Kundenabfrage-Tool verwenden, eine Kontonummer erhalten und dann eine andere Nummer an ein Geldtransfer-Tool übergeben. Beide Aufrufe könnten statische Berechtigungen erfüllen. Eine temporale Richtlinie könnte verlangen, dass das Transfer-Argument mit der früheren Tool-Ausgabe übereinstimmt, und die Anfrage blockieren, wenn der Agent den Wert verändert oder erfunden hat.

Weitere Beispiele im AWS Machine Learning Blog umfassen die Anforderung einer Portfolioabfrage vor einem Handel, die Sicherstellung, dass eine Datenabfrage erst kürzlich genug erfolgte, um eine Entscheidung zu stützen, und das Beenden einer Sitzung, sobald die kumulative Handels-Exponierung ein definiertes Limit erreicht. AWS beschreibt außerdem Kontrollen, um widersprüchliche Aktionen zu verhindern, etwa wenn ein Agent denselben Versicherungsanspruch kurz hintereinander genehmigt und ablehnt.

Die Funktion ist Teil von Amazon Bedrock AgentCore, AWS’ Service-Suite zum Erstellen und Betreiben von KI-Agenten. Der Durchsetzungspunkt ist AgentCore Gateway, das unterstützten Modell-, Tool- und Agent-zu-Agent-Verkehr über einen zentralen Endpunkt leitet.

Wie die temporale Autorisierung funktioniert

Eine von einer temporalen Richtlinie bewertete Anfrage trägt den Header x-amzn-bedrock-agentcore-policy-session-id. Diese Kennung verknüpft die Anfrage mit einer Trajektorie, die relevante frühere Aktionen, Eingaben und Ausgaben enthält. Anwendungsteams entscheiden, ob eine Sitzung ein Gespräch, eine mehrstufige Aufgabe oder einen länger laufenden Workflow repräsentiert.

AWS empfiehlt, Sitzungen relativ eng zu halten, weil pro Sitzung nur eine Autorisierungsanfrage gleichzeitig aktiv sein kann. Der Dienst kombiniert die Sitzungskennung mit der Identität des Endnutzers, sodass zwei Nutzer mit derselben Kennung trotzdem gegen getrennte Trajektorien geprüft werden. AWS sagt, das Rückblickfenster sei auf 24 Stunden begrenzt; danach werden ältere Ereignisse automatisch gelöscht.

Temporale Richtlinien laufen am Gateway und nicht im eigenen Code des Agenten. Diese Architektur ist wichtig: Ein Agent kann die Richtlinienlogik nicht umschreiben oder den für die Autorisierung verwendeten Zustand direkt manipulieren. AWS sagt, die Engine liefere ein deterministisches Erlauben-oder-Verweigern-Ergebnis, protokolliere den Entscheidungskontext, verweigere standardmäßig und gebe Verboten Vorrang, wenn Erlaubnis- und Verbotsregeln kollidieren.

Die Kontrollen sind keine Orchestrierungsschicht. Sie transformieren keine Anfragen, analysieren keine Daten und entscheiden nicht, welches Tool ein Agent aufrufen sollte. Ihre Rolle ist enger gefasst: zu bestimmen, ob eine über das Gateway geleitete Anfrage angesichts der beobachteten Historie erlaubt ist.

Belege und Implementierungsdetails

Der wichtigste Beleg für die Änderung ist AWS’ eigener technischer Beitrag, der die Funktionsbeschreibung und ein ausgearbeitetes Beispiel mit einem Private-Banking-Agenten liefert. In diesem Szenario ruft der Agent Kundeninformationen ab, lädt Portfoliobestände, ermittelt Marktpreise, führt Analysen durch und setzt Trades im Auftrag von Finanzberatern um.

AWS sagt, das Beispiel nutze Amazon Cognito für Identität, JSON Web Tokens für eingehende Authentifizierung und über AgentCore Gateway bereitgestellte MCP-Tools. Die im Beispiel verwendete Richtliniensprache ist Dogwood, die AWS als Open-Source-Governance-Sprache für Agenten und ihre Tools beschreibt. Laut AWS kann Dogwood bestehende Cedar-Richtlinien auswerten und zugleich Unterstützung für temporale Bedingungen hinzufügen, sodass Kunden ihre aktuellen Cedar-Regeln behalten können, statt zu migrieren.

Die Quelle liefert keine unabhängigen Testergebnisse, keine Zahlen zur Kundenadoption und keinen Beleg dafür, dass die Kontrollen alle Arten von Agentenfehlern verhindern. Aussagen über Umgehungsresistenz und Betriebsverhalten sind Produkt- und Architekturbehauptungen von AWS. Das verfügbare Medienelement wiederholt den Ankündigungstitel, ergänzt aber keine unabhängig berichteten Details.

Es gibt auch operative Einschränkungen für Teams, die die Funktion bewerten. Ein fehlender Sitzungs-Header kann dazu führen, dass AgentCore eine neue Sitzung erzeugt, sodass die Policy-Engine eine leere Trajektorie statt der beabsichtigten Historie sieht. AWS sagt, Richtlinienänderungen ungültig machen bestehende Sitzungen, damit nachfolgende Entscheidungen den aktuellen Richtliniensatz und das erwartete Ereignisschema verwenden. Diese Verhaltensweisen machen Sitzungsverwaltung und Richtlinienbereitstellung zu einem Teil des Sicherheitsdesigns, nicht bloß zu Konfigurationsdetails.

Warum das für Entwickler und Unternehmen wichtig ist

Für KI-Entwickler bieten temporale Richtlinien einen Kontrollpunkt für ein Problem, das sich mit Prompts oder prüfungen auf Anwendungsebene nur schwer zuverlässig lösen lässt: Invarianten über eine Sequenz modellgewählter Aktionen hinweg zu erhalten. Eine Richtlinie kann verlangen, dass ein Tool-Aufruf eine frühere verifizierte Ausgabe verwendet, dass eine hochwirksame Aktion einem definierten Verfahren folgt oder dass ein menschliches Freigabeereignis der Ausführung vorausgeht.

Für Unternehmen liegt der Hauptwert in der Konsistenz an der Grenze, an der Agentenverkehr Tools und Modelle erreicht. Ein gemeinsames Gateway kann Regeln über MCP-Aufrufe, Modell-Inferenzaufrufe und Agent-zu-Agent-Interaktionen anwenden, wenn diese Anfragen über AgentCore Gateway laufen. Das könnte die Notwendigkeit verringern, dass jede einzelne Agentenimplementierung Workflow-Kontrollen selbst nachbildet, auch wenn Teams weiterhin die Richtlinien, das Identitätsmodell, die Sitzungsgrenzen und den Freigabeprozess entwerfen müssen.

Der Ansatz kann auch dabei helfen, finanzielle oder operative Risiken zu begrenzen. Eine zustandslose Regel kann etwa die Größe eines einzelnen Handels begrenzen, kann aber nicht selbst bestimmen, wie viel Exposition sich über eine Sitzung hinweg angesammelt hat. Temporaler Zustand macht diese Art von kumulativer Einschränkung ausdrückbar. Der Preis ist eine zusätzliche Abhängigkeit von genauer Ereigniserfassung und sorgfältig abgegrenzten Trajektorien. Eine neue Sitzung kann außerdem die Historie entfernen, die eine Richtlinie eigentlich prüfen sollte.

Damit positioniert sich AgentCore direkter gegen Agentenplattformen, die Laufzeit-Governance, Tool-Berechtigungen und Human-in-the-Loop-Kontrollen betonen. Die verfügbaren Belege reichen nicht aus, um AWS’ Implementierung mit Konkurrenzprodukten bei Latenz, Richtlinienausdrucksstärke oder Bereitstellungskosten zu vergleichen.

Worauf als Nächstes zu achten ist

Die nächsten Signale werden eher praktisch als werblich sein. Entwickler sollten nach ausführlicherer Dokumentation zu Dogwood und seiner temporalen Semantik, nach Beispielen jenseits des Banking-Workflows sowie nach Details zur Richtlinienauswertungslatenz und zum Logging in Produktionsgröße suchen.

Unternehmenskäufer sollten außerdem prüfen, wie Teams trajektorienabhängige Regeln testen, von fehlgeschlagenen oder abgebrochenen Sitzungen wiederherstellen und Richtlinienänderungen verwalten können, ohne legitime Workflows zu stören. Unabhängige Kundenberichte würden helfen zu zeigen, ob Durchsetzung auf Gateway-Ebene Vorfälle oder Implementierungsaufwand gegenüber Kontrollen reduziert, die im Agentencode verankert sind.

Auch der Umfang des unterstützten Verkehrs wird wichtig sein. AWS sagt, temporale Richtlinien können Modell-, MCP-Tool- und Agent-zu-Agent-Aufrufe steuern, die über das Gateway geleitet werden; die Einführung hängt davon ab, wie viel von der Agentenarchitektur eines Unternehmens diesen Weg nutzen kann, ohne einen Engpass zu erzeugen.

Creati.ai-Perspektive

AWS reagiert auf eine reale Schwäche der Agentensicherheit: Autorisierungsentscheidungen brauchen oft Gedächtnis. Das folgenschwerste Risiko ist nicht immer ein verbotener Tool-Aufruf, sondern ein erlaubter Aufruf nach einer nicht vertrauenswürdigen Abfrage, einer veralteten Datenabfrage, fehlender Freigabe oder übermäßiger vorheriger Aktivität.

Temporale Richtlinien machen Agenten nicht für sich genommen zuverlässig. Sie schaffen eine stärkere Durchsetzungsgrenze um das Verhalten von Agenten herum, vorausgesetzt Entwickler definieren vertrauenswürdige Sitzungsidentitäten, erfassen die richtigen Ereignisse und testen Richtlinien gegen Fehlschlagssequenzen. Für Teams, die Agenten in Finanz-, Kundenservice- oder andere hochwirksame Workflows überführen, könnte genau dieser Unterschied – Richtliniendurchsetzung statt Modellkonformität – die wichtigere Entwicklung sein.