Amazon Web Services добавляет временные политики в Amazon Bedrock AgentCore, предоставляя разработчикам способ авторизовать текущее действие ИИ-агента на основе того, что он сделал ранее в той же сессии. Это управление предназначено для рабочих процессов, в которых отдельный вызов инструмента может выглядеть безопасным, но становится рискованным из-за предшествующей ему последовательности.

Изменение закрывает пробел в традиционном контроле доступа. Обычные разрешения приложений часто оценивают запросы независимо, тогда как ИИ-агенты выбирают инструменты, аргументы и порядок выполнения во время работы. AWS заявляет, что новый подход может обеспечивать обязательные шаги рабочего процесса, сохранять целостность данных между вызовами инструментов, ограничивать совокупную финансовую экспозицию и требовать одобрения человека перед чувствительными действиями.

Что меняет AWS

AWS описывает временные политики как состояние-зависимое расширение существующих средств политик в Bedrock AgentCore. Вместо того чтобы спрашивать только, может ли субъект вызвать конкретный инструмент, движок политики может изучить недавнюю траекторию агента и решить, авторизован ли текущий запрос в этом контексте.

Например, агент может использовать инструмент поиска клиента, получить один номер счета, а затем передать другой номер инструменту перевода средств. Оба вызова могли бы соответствовать статическим разрешениям. Временная политика могла бы требовать, чтобы аргумент перевода совпадал с предыдущим выходом инструмента, блокируя запрос, если агент изменил или сфабриковал значение.

Другие примеры в AWS Machine Learning Blog включают требование запроса портфеля перед сделкой, обеспечение того, чтобы запрос данных был выполнен достаточно недавно для поддержки решения, и остановку сессии после достижения определенного лимита совокупной торговой экспозиции. AWS также описывает меры для предотвращения противоречивых действий, например когда агент быстро подряд одобряет и отклоняет одно и то же страховое требование.

Функция является частью Amazon Bedrock AgentCore — набора сервисов AWS для создания и эксплуатации ИИ-агентов. Точка принудительного контроля — AgentCore Gateway, который направляет поддерживаемый трафик моделей, инструментов и взаимодействий агент-агент через центральную конечную точку.

Как работает временная авторизация

Запрос, оцениваемый по временной политике, несет заголовок x-amzn-bedrock-agentcore-policy-session-id. Этот идентификатор связывает запрос с траекторией, содержащей соответствующие предыдущие действия, входные и выходные данные. Команды приложений сами решают, представляет ли сессия разговор, многошаговую задачу или более длительный рабочий процесс.

AWS рекомендует держать сессии относительно узкими, поскольку одновременно по одной сессии может быть активен только один запрос авторизации. Сервис объединяет идентификатор сессии с идентичностью конечного пользователя, поэтому два пользователя с одним и тем же идентификатором все равно оцениваются по разным траекториям. AWS говорит, что окно ретроспективы ограничено 24 часами, после чего старые события автоматически удаляются.

Временные политики работают на шлюзе, а не внутри собственного кода агента. Эта архитектура важна: агент не может переписать логику политики или напрямую манипулировать состоянием, используемым для авторизации. AWS заявляет, что движок возвращает детерминированный результат разрешить или запретить, записывает контекст решения, по умолчанию отклоняет и отдает приоритет запретам, когда правила разрешения и запрета конфликтуют.

Эти меры не являются уровнем оркестрации. Они не преобразуют запросы, не анализируют данные и не решают, какой инструмент должен вызывать агент. Их роль уже: определить, разрешен ли направленный через шлюз запрос с учетом наблюдаемой истории.

Доказательства и детали реализации

Основное доказательство изменения — это собственная техническая публикация AWS, которая дает описание функции и подробный пример с агентом private banking. В этом сценарии агент извлекает данные клиента, загружает состав портфеля, получает рыночные цены, выполняет анализ и совершает сделки от имени финансовых консультантов.

AWS говорит, что в примере используются Amazon Cognito для идентификации, JSON Web Tokens для входящей аутентификации и инструменты MCP, доступные через AgentCore Gateway. Язык политик, использованный в примере, — Dogwood, который AWS описывает как язык управления с открытым исходным кодом для агентов и их инструментов. По словам AWS, Dogwood может оценивать существующие политики Cedar, одновременно добавляя поддержку временных условий, что позволяет клиентам сохранять текущие правила Cedar вместо миграции.

Источник не предоставляет независимых результатов тестов, данных о внедрении у клиентов или доказательств того, что эти меры предотвращают все классы сбоев агентов. Заявления об устойчивости к обходу и операционном поведении — это продуктовые и архитектурные утверждения AWS. Доступный медиаматериал повторяет заголовок анонса, но не добавляет независимых деталей.

Для команд, оценивающих функцию, есть и операционные ограничения. Отсутствие заголовка сессии может заставить AgentCore создать новую сессию, из-за чего движок политики видит пустую траекторию вместо предполагаемой истории. AWS говорит, что изменения политики делают существующие сессии недействительными, чтобы последующие решения использовали текущий набор политик и ожидаемую схему событий. Такое поведение делает управление сессиями и развертывание политик частью дизайна безопасности, а не просто деталями конфигурации.

Почему это важно для разработчиков и предприятий

Для разработчиков ИИ временные политики дают точку контроля для проблемы, которую трудно надежно решить с помощью промптов или проверок на уровне приложения: поддержание инвариантов на протяжении последовательности действий, выбранных моделью. Политика может требовать, чтобы вызов инструмента использовал ранее проверенный результат, чтобы высокоэффектное действие следовало определенной процедуре или чтобы событие человеческого одобрения предшествовало выполнению.

Для предприятий основная ценность — согласованность на границе, где трафик агентов достигает инструментов и моделей. Общий шлюз может применять правила к вызовам MCP, вызовам инференса моделей и взаимодействиям агент-агент, когда эти запросы проходят через AgentCore Gateway. Это может снизить необходимость для каждой отдельной реализации агента воспроизводить средства контроля рабочего процесса, хотя командам все равно нужно проектировать политики, модель идентичности, границы сессий и процесс одобрения.

Этот подход также может помочь с ограниченным финансовым или операционным риском. Например, статическое правило может ограничивать размер одной сделки, но не может само по себе определить, сколько экспозиции накопилось за сессию. Временное состояние делает такой тип накопительного ограничения выражаемым. Компромисс — дополнительная зависимость от точного захвата событий и тщательно ограниченных траекторий. Новая сессия также может удалить историю, которую политика ожидала проверить.

Это позиционирует AgentCore более прямо против платформ агентов, делающих упор на управление во время выполнения, разрешения инструментов и контроль с участием человека. Имеющихся сведений недостаточно, чтобы сравнить реализацию AWS с конкурентными продуктами по задержке, выразительности политик или стоимости развертывания.

На что смотреть дальше

Следующие сигналы будут практическими, а не рекламными. Разработчикам стоит искать более широкую документацию по Dogwood и его временной семантике, примеры за пределами банковского сценария, а также детали о задержке оценки политик и логировании на производственном масштабе.

Корпоративным покупателям также следует проверить, как команды могут тестировать правила, зависящие от траектории, восстанавливаться после неудачных или брошенных сессий и управлять изменениями политик, не нарушая законные рабочие процессы. Независимые отчеты клиентов помогут понять, снижает ли исполнение на уровне шлюза число инцидентов или затраты на внедрение по сравнению с контролями, встроенными в код агента.

Важен будет и охват поддерживаемого трафика. AWS говорит, что временные политики могут управлять вызовами моделей, инструментов MCP и агент-агент, маршрутизируемыми через шлюз; внедрение будет зависеть от того, какая часть архитектуры агентов организации сможет использовать этот путь без создания узкого места.

Взгляд Creati.ai

AWS реагирует на реальную слабость в безопасности агентов: решения по авторизации часто требуют памяти. Самый серьезный риск — не всегда запрещенный вызов инструмента, а разрешенный вызов после ненадежного поиска, получения устаревших данных, отсутствующего одобрения или чрезмерной предыдущей активности.

Временные политики сами по себе не делают агентов надежными. Они создают более сильную границу принудительного контроля вокруг поведения агента, при условии что разработчики определяют надежные идентификаторы сессий, фиксируют правильные события и тестируют политики на последовательностях отказов. Для команд, выводящих агентов в финансы, клиентский сервис или другие высокоэффектные рабочие процессы, это различие — применение политики, а не соответствие модели — может оказаться более значимым развитием.