AWS、Amazon Bedrock AgentCoreに新機能を追加――AIエージェントの行動シーケンスとコストをインフラ層で制御

要点

• アマゾン ウェブ サービス（AWS）は、AIエージェントの管理プラットフォーム「Amazon Bedrock AgentCore」に新たなセキュリティおよびコスト制御機能を導入しました。
• 新導入の「テンポラルポリシー」により、単一のアクション評価だけでなく、エージェントの一連の行動（シーケンス）全体を対象にした境界設定が可能になります。
• テンポラルポリシーの構築には、AIエージェント向けに開発された新しいオープンソースのポリシー言語「Dogwood」が採用されました。
• インフラの入り口となるゲートウェイでの「レート制限」機能も追加され、異常なリトライなどによるトークンの過剰消費やコストの急増を防ぎます。
• McKinseyの調査によると、約80%の組織がすでにAIエージェントの危険な挙動を経験しており、インフラ層での一貫した制御が強く求められていました。

• アマゾン ウェブ サービス（AWS）は2026年8月6日、AIエージェント（ユーザーに代わって自律的に判断しタスクを実行するAIシステム）の管理プラットフォーム「Amazon Bedrock AgentCore」において、セキュリティとコスト制御を強化する新機能を発表しました。

• 今回追加されたのは、エージェントの一連の行動を監視する「テンポラルポリシー」と、通信の流量を制御する「レート制限」機能の2点です。AIエージェントが高度化し、組織内で多数実行されるようになる一方で、従来の個別アクションのみを評価するガードレールでは防ぎきれなかったリスクに対応する狙いがあります。

AIエージェントの普及とセキュリティの壁

AWSが紹介したマッキンゼー・アンド・カンパニー（世界的なコンサルティング企業）の2026年の信頼性調査（「State of AI Trust in 2026」および「Trust in the age of AI agents 2026」）によると、すでに約80%の組織がAIエージェントによるリスクのある行動に遭遇した経験があるという。セキュリティやリスクへの懸念は、企業がエージェント型AIを導入・拡大する上での最大の障壁となっており、信頼の構築がイノベーションの鍵となっています。

しかし、従来のセキュリティガードレールは、あらかじめ動作が予測できるソフトウェアを前提に設計されていました。一方でAIエージェントは、目標に向けて自ら動作の経路を決定していくため、個々のステップが正当であっても、それらを組み合わせた一連の行動が問題を引き起こすケースが発生します。

例えば、顧客口座を照会した直後に別の口座へ資金を送金する行為や、承認が必要な基準額を下回る注文を連続して繰り返し合計で予算を超過させる行為、さらには接続先のシステムエラーが発生した際に夜通し自動リトライを繰り返してトークン（AIがテキストを処理する際の最小単位）の予算を使い果たす行為などが考えられます。これらは個別のリクエストとしてはすべて正常と判定されてしまうため、全体の動作パターンを追跡しなければ防ぐことが困難でした。

アプリコードではなくインフラ層で統一制御

AWSは、こうしたセキュリティ制御をアプリケーション側のコードに個別に記述するのではなく、インフラ層で一貫して強制適用すべきだという原則のもとで「Amazon Bedrock AgentCore」を設計したと説明しています。

その中心的な役割を担うのが、完全管理型でサーバーレス（物理サーバーの運用管理を意識せずにシステムを実行できる仕組み）のトラフィック入り口である「ゲートウェイ」です。ゲートウェイは、MCP（Model Context Protocol：LLMと外部ツールを接続するプロトコル）サーバーや、LLM（大規模言語モデル）、エージェント、知識ベースへのリクエストをすべてルーティングします。すべてのコールがここを通過するため、エージェントの自律的な動作に関わらず、システム全体に一律の制限を課す最適な場所となります。

新言語「Dogwood」による行動シーケンスの制御

今回発表されたアップデートにより、このゲートウェイに高度なポリシーと制限機能が組み込まれました。

まず、従来のポリシーチェックはステートレス（状態を保持しない設計）であり、個々のリクエストがその都度条件を満たしているかのみを迅速かつ確実に判断していました。これに対し、新たに追加された「テンポラルポリシー」は、エージェントが実行する複数のアクションの「シーケンス（一連の流れ）」全体を監視対象とします。

テンポラルポリシーは、AIエージェント専用に設計された新しいオープンソースのポリシー言語「Dogwood」によって記述されます。これにより、個別のリクエスト単体で妥当性を判断するのではなく、複数のアクションが組み合わさった際に生じるリスクのある挙動を定義し、防ぐことができるようになります。

さらに、ゲートウェイにおいて「レート制限」を設定できるようになりました。これにより、エージェントが予期せぬエラーに遭遇してAPIの呼び出しやツールのリトライを過剰に繰り返すといった挙動を自動的に抑止し、インフラ側でトークン消費とコストの急増を防ぐことが可能です。

AWSは、こうした依存性の高いガードレールをインフラ層で提供することで、企業がエージェントを個別の交渉なしに、プラットフォームのスケールに合わせて一括で安全に承認・稼働させられるようになると述べています。