【AWS Dogwood入門】実務向けの7つの型

Transcript

1. 2026年8月 実務向けの7つの型 AWS Dogwood 入門⑥（全7回）── AgentCore の temporal policies 赤神 青空
2. ▪書き方と置き場所が揃ったので、実務の形を見る 前回までのおさらい 今回は、AWSが提示している実務向けの型を見ていきます。 題材は架空のプライベートバンキング業務 7つの型は、AgentCore 側の書式で書かれている ここは自分では動かしていないので、紹介として聞いてください 今ココ おさらい 2/14
3. ▪どこからどこまでを1つの履歴とみなすか 軌跡とセッション 軌跡（trajectory）は principal とセッションIDで区切られた行為の列です。 セッションの境界は自分で決める 1回の会話でも、多段タスクでも、長期の業務でもよい 1セッションにつき同時1リクエストなので狭いほどよい IDだけではセッションは決まらない エンドユーザーの識別子と組で1つになる 同じIDでも人が違えば別の軌跡として扱われる エージェントは状態ストアにも触れず、ポリシーも見えない 今ココ 実運用 3/14
4. ▪知らないと事故りそうなところを抜き出す セッションの仕様 ID 空 遡り 変更 価格 地域 専用ヘッダで渡す 新IDは空の履歴 最大24時間まで ポリシー更新時 1エンジン100本まで 東京も対象 今ココ 実運用 省略すると自動採番される 過去ゼロとして評価される event schema の既定値でもある 既存セッションは無効化される 既存の認可リクエスト単価に含む ap-northeast-1 で使える 4/14
5. ▪ゲートウェイが受けてから返すまで 1リクエストの流れ 1. 認証済みのリクエストが軌跡IDを持って到着する 2. ポリシーエンジンが軌跡の蓄積状態を引く 3. 各 temporal ポリシーを現在のリクエストと突き合わせる 4. 全て許可ならツールへ、1つでも禁止なら拒否してログに残す 5. 実行できたら、行為と結果を軌跡に追記する 今ココ 実運用 5/14
6. ▪架空のプライベートバンキング業務を題材にしている 提示された7つの型 【前段】手続きの正しさを守る 順序 出力整合 鮮度 承認消費 決めた順に呼ばせる 前段の返り値と一致必須 直近の取得を必須にする 1承認につき1実行だけ 手順の強制 【後段】被害の総量を抑える 値のすり替え防止 古い情報の排除 人の承認を要求 累計上限 相互排他 信頼逓減 セッション合計で止める 損を出す売りを拒む 無人時間で権限を絞る 総額の上限 今ココ 実運用 矛盾の検出 放置への備え 6/14
7. ▪同じ形の型① 手順を強制する permit を2本つないで順序を作る 下は1本目です。同じ形で再配分は読込の後を要求する2本目を足します。 dogwood permit (principal, action == AgentCore::Action::"..._load_portfolio", resource == AgentCore::Gateway::<ARN>) when temporal { formerly within 5m ( AgentCore::Action::"..._get_client_profile"::response{ eventResource: resource }) }; 今ココ 実運用 7/14
8. ▪プロンプトインジェクションに効く型 型② 出力と入力を縛る 取引に渡す ID が、CRMが実際に返した値と一致することを要求します。 dogwood permit (principal, action == AgentCore::Action::"execute_trade", resource) when temporal { formerly within 24h ( AgentCore::Action::"get_client_profile"::response{ input.profile_id: context.input.profile_id, eventResource: resource }) }; 今ココ 実運用 8/14
9. ▪モデルを説得できても、返り値は書き換えられない ここが一番効く LLM は騙せる。けれど、履歴に残った値は騙せない。 攻撃側にできること 別のIDを使うようモデルを誘導する ポリシーがやること その値が実際に返ってきたかを照合する 推論の正しさに頼らず、観測された事実だけで判定しています。 今ココ 実運用 9/14
10. ▪30秒以内に取った価格でなければ約定させない 型③ データの鮮度 相場が動く場面では、1分前の気配値でも十分に古い、という判断です。 dogwood permit (principal, action == AgentCore::Action::"execute_trade", resource) when temporal { formerly within 30s ( AgentCore::Action::"get_market_price"::response{ eventResource: resource }) }; 今ココ 実運用 10/14
11. ▪1セッションの取引総額を 型④ 累計に上限をつける $60,000 で止める 蓄積 蓄積 蓄積 意図 $0 $15,000 $37,000 被害の広がりを抑える 今ココ 実運用 現在 $15,000 → 通す 現在 $22,000 → 通す 現在 $30,000 → 拒否 小口の積み上げを個別に見ない 11/14
12. ▪$25,000型⑤ 承認を1回で使う 超は承認必須。1承認につき1実行だけ since を使って、承認より後にまだ実行していないことを条件にします。 dogwood permit (principal, action == AgentCore::Action::"execute_trade", resource) when { context.input.cost < 25000 || temporal { !(AgentCore::Action::"execute_trade"::response{ eventResource: resource }) since within 24h ( AgentCore::Action::"approve_trade"::response{ input.status: "approved" }) } }; 今ココ 実運用 12/14
13. ▪残りの2つは、少し性格が違う 型⑥⑦ 矛盾と逓減 明らかにおかしい並びと、放っておかれた状態。それぞれを扱います。 相互排他 ── 24時間以内に買った銘柄を、損を出して売ることを禁じる 矛盾した並びそのものが、異常の徴候になる 検知したらセッションごと見直す前提の型 信頼の逓減 ── 15分アドバイザーの操作がなければ書き込み権限を落とす 人が離れると、自然に読み取り専用へ寄っていく 戻ってくればすぐ元の権限に復帰する 今ココ 実運用 13/14
14. ▪この回の持ち帰り まとめ 01 前段は、手続きの正しさを守る 順序の強制・出力整合・データ鮮度・承認の1回消費。 02 後段は、被害の総量を抑える 累計上限・相互排他・無人時間での信頼の逓減。 03 一番効くのは出力整合 モデルは騙せても、履歴に残った値は騙せません。 今ココ おわりに 14/14