AWS、「Amazon Bedrock AgentCore」に履歴ベースで動作を制御する「テンポラルポリシー」を導入

要点

• AWSは、AIエージェントの安全性を向上させる新しい認可機能「テンポラルポリシー」を発表した。

• 従来のアクセス制御では防ぎきれなかった、AIによる誤情報の受け渡しや不正な連続実行などのリスクに対応する。

• 新機能はエージェントのセッション履歴や行動の軌跡を評価し、動的に呼び出しの可否を判定する。

• 制御処理はエージェントの外部である「AgentCore Gateway」で実行されるため、AI自身による回避や書き換えが不可能となっている。

• アマゾン ウェブ サービス（AWS）は2026年8月6日、同社のAIエージェント構築プラットフォームである「Amazon Bedrock AgentCore」において、AIエージェントの動作を履歴に基づいて制御するセキュリティ機能「テンポラルポリシー（一時的／時系列的なポリシー）」を導入したと発表した。本機能により、AIエージェントが過去に実行した操作の履歴（セッション履歴）を加味した、動的かつ強固なアクセス制御が可能になるという。

従来のアプリケーションとAIエージェントにおける制御の違い

従来のアプリケーション開発においては、個々のアクションが独立したイベントとして処理されることが一般的であり、アクセス制御もそれに準じていた。開発者は決定論的なビジネスロジックを設計し、アクションが正しい順序で実行されているか、データが最新であるかをプログラム側で静的に担保していた。

しかし、AIエージェント（人間の代わりに複雑なタスクを自律的に実行するAIシステム）は、これとは根本的に異なる方法で動作する。AIエージェントは、実行時にどのツールを呼び出し、どの引数を渡し、どのような順序で処理を行うかを自律的に決定する。この柔軟性は、AIモデルの高度化に伴いエージェントに強力な実行能力をもたらす一方で、開発者による行動の予測や制御を極めて難しくするという課題を浮き彫りにした。

従来の「ステートレス」なアクセス制御における限界

これまでのアクセス制御システムである「AgentCore Policy」では、1回ごとのリクエストが「ステートレス（過去の状態や文脈を保持しない方式）」で判定されていた。これは、「誰がどのツールをどのような条件で呼び出せるか」を個別に評価する仕組みである。

しかし、このステートレスな評価方法では、個々のツール呼び出し自体は安全に見えても、一連の行動の文脈（軌跡）で見ると深刻なセキュリティリスクにつながるケースを防げない。

AWSは、従来のステートレスな制御をすり抜けてしまう具体的なシナリオとして、以下の3つの例を挙げている。

1. ハルシネーション（AIが事実に基づかない誤った情報を生成する現象）による誤処理
   顧客情報を検索するツール（lookup_customer）を呼び出して正しい口座番号を取得したにもかかわらず、AIエージェントが別の口座番号をハルシネーションし、その誤った番号を資金送金ツール（transfer_funds）に渡して無関係の口座に送金してしまうケース。
2. 無限ループによるリスク
   制御を失ったエージェントがループ処理によって数多くの取引を繰り返し実行し、累積の取引額が事前に設定されたリスク限界値を大幅に超えてしまうケース。
3. 論理的矛盾
   保険金の請求に対して、同一のエージェントがわずか数秒の間に「承認」と「却下」の両方のツールを実行してしまうケース。

これらのシナリオにおいて、個々のツール呼び出し（顧客情報の検索、資金送金、承認、却下など）は、単体で見ればいずれもポリシー上の認可条件をクリアしてしまうため、従来の検知方法では処理を遮断することができなかった。

セッション履歴を評価する「テンポラルポリシー」の仕組み

今回発表された「テンポラルポリシー」は、AIエージェントの一連の行動履歴である「軌跡（Trajectory）」を監視・評価することで、こうした課題に対処する。

本機能は、エージェントが送る現在のリクエストを、同一セッション（一連の処理の単位）内における過去のイベントの文脈と照らし合わせて判定する「ステートフル（状態を維持する方式）」なルールを定義できるのが特徴だ。

また、セキュリティ上の大きな強みとして、テンポラルポリシーの検証は「AgentCore Gateway（エージェントと外部システムの通信を制御する境界）」で実行される点が挙げられる。この処理はAIエージェント自身のプログラムやコードの外側で行われるため、仮にエージェントのコードにバグが存在したり、悪意あるプロンプト（AIへの指示文）によってエージェントが操作されたりしても、ポリシーの制限を傍受されたり回避されたりする心配がない。

テンポラルポリシーが提供する主なユースケース

AWSは、テンポラルポリシーの導入によって実現する具体的なセキュリティ対策として、以下の5つのユースケースを紹介している。

• 複数ツール間の出力整合性の検証
  現在呼び出そうとしているツールの引数が、それ以前に呼び出したツールの出力結果と完全に一致していることを必須条件にする。これにより、エージェントが処理の途中で数値を改ざんしたり、ハルシネーションによって存在しない値を捏造したりすることを防止する。
• ツール呼び出し順序の強制
  特定のツールを実行する前に、必ず前提となるツールが呼び出されていることを要求する。これにより、業務における標準的な作業手順（SOP）を確実に順守させることができる。
• 累積的なリスクの制限
  セッションごとに発生する金銭的なリスク（累積の取引額や処理件数など）に上限を設け、エージェントの暴走や不具合による過剰な執行を防ぐ。
• 高価値アクションに対する承認要求
  重要な意思決定や高額な取引など、リスクの高いアクションを実行する際には、必ず人間の承認を得るよう制御する。
• 自律動作時の権限の自動引き締め
  人間が直接関与していない状況でエージェントが単独で動作する場合に、自動的にアクセス権限を狭めるなどして安全性を担保する。