8月22日、Techstrong.AIが「AWS Open Sources Dogwood Language for Programmatically Governing AI Agents」と題した記事を公開した。AIエージェントが企業システムに深く組み込まれるなか、「承認なしに送金する」「機密情報にアクセスした直後に外部へ連絡する」といった危険な行動は、1リクエストを見るだけでは検知できない。AWSはこの根本的な課題を解くため、シーケンス全体を対象にポリシーを適用するガバナンス専用言語「Dogwood」をApache 2.0ライセンスのオープンソースとして公開した。
AIエージェントを「1リクエスト単位」で制御できない問題
AIエージェントのガバナンスにおける核心的な課題は、リスクが単一のリクエストではなく、一連のアクションの流れの中に存在するという点だ。
従来のポリシー制御、たとえばAWSがCNCF（Cloud Native Computing Foundation）のもとで開発を進めているCedarは、リクエストごとに独立して認可判断を行う「ポイント・イン・タイム認可」に留まる。これはWebアプリケーションのような単発リクエスト型のシステムでは十分機能するが、複数ステップにわたって自律的に行動するAIエージェントとは根本的に相性が悪い。
この限界が実際のインシデントとして顕在化した事例として、記事ではFuturum GroupのVPであるMitch Ashleyの証言が紹介されている。複数ステップにまたがる送金処理をAIエージェントが実行した際、従来のポイント・イン・タイム型の認可ログでは「送金の前に承認が取られたかどうか」を事後的に証明できなかったという。Ashleyはこう指摘する。
「プラットフォームチームは、送金の前に承認が取られたことを証明できなかった。Dogwoodはそれを検証可能にする」
エージェントが「機密情報にアクセスした後に外部へ連絡する」「承認なしに送金する」といった行動は、1リクエストを見るだけでは検知できない。シーケンス全体を見てポリシーを適用する仕組みが必要だ。
Dogwoodが解決する問題
Dogwoodは、テンポラル論理（temporal logic）と呼ばれる数学的基盤を用いて、現在および直近のイベントの列にルールを適用するガバナンス専用言語だ。テンポラル論理とは、「AというイベントはBより前に起きなければならない」「Cが起きた後はDを禁止する」といった時間的順序を含む条件を形式的に記述できる論理体系で、ソフトウェアの安全性検証などに用いられてきた。
Dogwoodはこのテンポラル論理をAIエージェントのポリシー記述に応用しており、エージェントの行動列をリアルタイムで評価するランタイム検証（runtime verification）を実現する。ランタイム検証とは、システムの実行中に動作が仕様を満たしているかを継続的に監視・判定する技術であり、事後のログ分析ではなく実行時にその場でポリシー違反を検知・ブロックできる点が特徴だ。元記事タイトルにも「Runtime Verification for AI Agents」と明示されているように、これがDogwoodの技術的核心にあたる。
AWSのシニアプリンシパルソフトウェアエンジニアであるClare Liguoriは、その設計思想をこう説明する。
「DogwoodはA→Bの順序制約のようなテンポラルポリシーを記述できる。エージェントが従うべきポリシーを明示的に指定できる」
具体的にDogwoodで実現できる制御の例として、記事では以下が挙げられている。
- 行動前に承認を必須とする
- 累積上限の管理（例：一定時間内に転送できる金額の合計をプログラム的に制限）
- 機密情報へのアクセス後、外部との連絡を禁止する
金額の合計制限は、イベントに紐づくデータを集計する機能によって実現する。「合計額が閾値を超えたら以降の送金を拒否する」といったポリシーが記述可能だ。
開発者向けの拡張機能
Dogwoodは基本的なポリシー記述にとどまらず、いくつかの拡張性を持つ。
- カスタムマクロの定義で繰り返しパターンに名前をつけ、共有ライブラリとして管理
- ツール呼び出しのリクエスト/レスポンス以外のイベント種別を含む、リッチなイベントモデルの宣言
- 情報プロバイダの定義（サンドボックス化された小さな関数で、ポリシーがインラインで参照できるファクトを計算）
- MCP（Model Context Protocol）ツールマニフェストからアクションスキーマを直接生成する機能
IDEまたはAIコーディングエージェントを使ってポリシーを記述でき、Dogwoodのパーサー・バリデーター・リファレンスインタープリターを使ってエージェントの振る舞いを検証できる。
AgentCore Policyへの統合
DogwoodはAWSのAgentCore Policyに組み込まれている。AgentCoreはAWSが提供するAIエージェント構築・運用向けのマネージドサービス群であり、エージェントのメモリ管理・ツール統合・セキュリティ制御などを包括的に担うAmazon Bedrock AgentCoreの一部として位置づけられる。Dogwoodはその中のポリシーレイヤーとして統合されており、AIエージェントの挙動に対して決定論的なガードレールを適用できる。
CedarがWebアプリ的な単発認可を担う一方、Dogwoodはシーケンスベースの制御を補完する役割を果たす。両者は互換性を持ちながら共存する設計となっており、既存のCedarベースのポリシー資産を捨てることなくDogwoodを導入できる。
AIエージェントが企業の既存の制御をいとも簡単に迂回できる現状において、ガバナンスをエージェント自体に組み込む手段として、Dogwoodはその実装の一つとなる。
詳細はAWS Open Sources Dogwood Language for Programmatically Governing AI Agentsを参照していただきたい。
