30秒サマリー
- AWSがAIエージェントのセッション内行動履歴を参照して認可判断を行う「テンポラルポリシー」機能を公式ブログで解説
- エージェント自身のコード外のゲートウェイ境界層で動作し、プロンプトインジェクションやコードバグによる迂回を原理的に排除
- ツール呼び出し順序の強制・累積金額上限・人間承認要件・権限自動縮退など、金融業務想定のユースケースを例示
何が起きたか
AWSは公式ブログにて、Amazon Bedrock AgentCoreの新機能「テンポラルポリシー（Temporal Policies）」を解説した。従来のアクセス制御はリクエストを個別に評価する「ステートレス」な仕組みであるが、AIエージェントはツールをどの順番で呼び出すかを実行時に自律的に決定するため、個々のリクエストが無害に見えても連鎖すると有害になるケースを防げない課題があった。原文はその例として、エージェントが顧客照会ツールの返却値とは異なる口座番号を「幻覚」して送金処理に渡すケース、ループ状態のエージェントが累積リスク限度を超えて繰り返し取引を実行するケース、同一の保険請求を数秒以内に承認と却下の両方を行うケースを挙げている。
テンポラルポリシーはAgentCore Gatewayのペリメーター（境界層）でエージェントのセッション内行動履歴（トラジェクトリ）を参照しながら認可判断を行う。エージェント自身のコードからは完全に分離されており、エージェントはポリシーロジックを参照できず、状態ストアに触れられず、制御を変更できない設計となっている。デフォルト拒否・禁止優先の原則で動作する。
具体的なユースケースとして、原文はプライベートバンキング向けポートフォリオ管理エージェントを例示している。コンプライアンスチームが求めた制御要件として、「顧客プロファイル取得（get_client_profile）→ポートフォリオ読み込み（load_portfolio）→ポートフォリオリバランス（rebalance_portfolio）」という手順の順序強制、取引に使うポートフォリオIDが前ステップの出力と一致するかの検証、マーケット価格の取得から取引実行まで1分以内という鮮度要件、1セッションあたりの取引総額6万ドル上限、2万5千ドル超の個別取引には1取引ごとにアドバイザーの明示的承認を要求、同一セッション内で同一銘柄を買値より安値で売ることの禁止、そして15分間アドバイザーの操作がない場合は書き込み権限を自動失効させるルールの7項目が列挙されている。これらはいずれも原文が「コンプライアンスチームの要件」として明示的に記載した内容である。
ポリシーの記述にはオープンソースのガバナンス言語「Dogwood」が使われており、既存のCedarポリシーとの互換性を持つ。セッションはセッションIDとエンドユーザーのIDを組み合わせて一意に管理され、トラジェクトリの保持期間は最大24時間とされている。ポリシーが変更された場合は既存セッションが無効化され、常に最新ポリシーで評価される設計となっている。
原典ハイライト
原文は「一つひとつのツール呼び出しはステートレスなポリシーチェックをパスしてしまう。問題はエージェントのトラジェクトリ、すなわちセッション内の行動の順序列を見て初めて明らかになる」と指摘し、ゲートウェイ層での履歴参照型認可制御が必要な理由を具体的なシナリオで論じている。また、テンポラルポリシーはAgentCore Gatewayの外部で動作するため「エージェントが何をしようとも、どのようにプロンプトされても、エージェントコードにどんなバグがあっても迂回できない」と明記されている。出典：AWS Machine Learning Blog（公式ブログ）https://aws.amazon.com/blogs/machine-learning/securing-ai-agents-with-temporal-policies-in-amazon-bedrock-agentcore/
出典: AWS Machine Learning Blog（公式ブログ）
So What?（なぜ重要か）
（編集部分析）AIエージェントが業務システムのツールを自律的に呼び出す以上、従来型の「個別リクエスト単位」のアクセス制御では不十分であることをAWS自身が公式に認めた形となる。エージェントの行動履歴を外部の認可エンジンで監視・制御するという設計思想は、今後のAIエージェント基盤のセキュリティ標準として業界に波及する可能性がある。エージェントコードへの信頼に依存しない「境界型セキュリティ」のアプローチが実装レベルで示されたことは、業界全体への重要な参照事例となる。
日本企業への示唆
（編集部分析）AIエージェントを業務自動化に導入しようとしている日本企業、特に金融・保険・製造など手続きの順序遵守やデータ整合性が重要な業界は、設計の初期段階からエージェントのアクセス制御をステートレス型からステートフル型に引き上げる必要性を認識すべきだ。具体的には、①ツール呼び出し順序の強制（SOP遵守）、②累積金額・件数上限の自動制御、③高リスクアクションへの人間の承認フロー組み込み、④一定時間無操作での権限縮退、⑤ツール間でのデータ受け渡し値の整合性検証、といった制御をエージェントコードに依存せず外部層で実装できるか確認することがリスク管理上の要件になっていくとみられる。Bedrock AgentCoreを利用する場合はテンポラルポリシーの活用を検討できるが、他のAIエージェント基盤においても同等の設計パターンを求めることが重要となる。
背景・経緯
Amazon Bedrock AgentCoreはAWSが提供するAIエージェント構築・実行基盤であり、AgentCore GatewayはModel Context Protocol（MCP）ツール呼び出し、エージェント間通信、モデル推論呼び出しを単一エンドポイントで処理する。テンポラルポリシーはAgentCoreの既存ポリシーエンジンを拡張する形で追加された機能であり、オープンソースのガバナンス言語Dogwoodを採用している。Dogwoodは既存のCedarポリシーと互換性を持ち、テンポラル条件のサポートを追加したものと原文は説明している。原文ではDogwoodについて別途ブログ記事と言語ドキュメントが存在することに言及しているが、詳細は原文の範囲外となる。
