概要
AWSは、認可ポリシー言語Cedarを拡張した新しいオープンソース言語「Dogwood」を発表した。Apache 2.0ライセンスで公開され、AgentCore PolicyでのAIエージェント統治に利用できる。最大の特徴は、エージェントが過去に行ったツール呼び出しの履歴を時系列条件として参照できる点だ。Cedarは個々のリクエストを単発で評価する言語であり、同じリクエストは事前の文脈や実行順序に関わらず常に同じ結果を返すステートレスな設計になっている。この性質は形式的な検証を可能にする一方で、一連の行動にまたがる制約を表現できないという限界があった。Dogwoodはこの限界に対応し、「承認を得るまでは行動しない」「累計の支出上限を超えない」「機密データにアクセスした後は外部との通信を禁止する」といった、行動の順序に依存するルールをポリシーとして表現できるようにする。
技術的な詳細
Dogwoodは、Cedar既存のwhen条件に加えてwhen temporalという新しい句を導入する。この時系列ロジックは、イベント履歴から生成されるCedarのコンテキストフィールドに変換される仕組みだ。時系列条件を表現するための演算子として、以下の4つが用意されている。いずれも言語のプリミティブとしてではなく、標準ライブラリのマクロとして実装されている。
- formerly: 特定の時間枠内に何かが発生したかどうかを確認する
- count_within: 特定の時間枠内での発生回数をカウントする
- count_distinct_within: 特定の時間枠内でのユニークな値の数をカウントする
- sum_within: 特定の時間枠内での累計値を計算する
発表では、分散システム特有の落とし穴についても指摘されている。レート制限のポリシーが「レスポンスイベント」を参照するか「リクエストイベント」を参照するかによって、並行処理時の挙動が変わってしまうというものだ。たとえば2,000ドルの送金を3件並行して実行した場合、ポリシーがレスポンス（まだ確定していない）を参照していると5,000ドルの上限をすり抜けてしまう一方、リクエストを参照していれば正しく拒否される。エージェントは並行してツール呼び出しを行うことが多いため、この非同期性に起因する脆弱性は実運用上重要な注意点となる。
トレードオフと制約
時系列評価はステートフルなイベント追跡を必要とするため、計算コストが増加する。より本質的な制約として、時系列条件は「Cedarが提供する自動推論による解析ツールをサポートしない」点が挙げられており、これにより形式的検証の機能が失われる。AWSがCedarとは別にDogwoodという新しい言語を用意した理由もここにある。また、AWSは参照実装のインタプリタについて「言語を探索・テストするためのものであり、本番環境での認可処理に使うものではない」と明言している。本番環境での運用には、信頼できるタイムスタンプ、認証済みイベント、永続的なトレースストレージ、機密データの保持ポリシーといった要素が別途必要になる。
MCPとの関係と今後の展望
今回の発表は、AIエージェントのツール呼び出しを識別するHTTPヘッダーを要求するModel Context Protocol（MCP）の2026-07-28仕様と時期を同じくしている。MCPがゲートウェイでのツール呼び出しの可視性を提供するのに対し、Dogwoodはそれらの呼び出しの連なりが何を達成できるかを統治する役割を担う。今後のロードマップとしては、実時刻に基づく時間枠のサポート、必須の結果を保証するライブネス特性、そしてハンドオフやロックを含むマルチエージェントのオーケストレーションポリシーへの対応が予定されている。