在生成式 AI 轉向 Agentic Workflow（代理工作流）的趨勢下，AI Agent 不再僅僅是回答問題，而是能透過調用多種工具來執行具體任務。然而，這帶來了一個嚴峻的治理挑戰：如何確保 Agent 在調用工具時不僅單次操作合法，且整個行為序列也符合安全規範？針對此問題，AWS 近期開源了 Dogwood，這是一種專為 Agent 工具調用設計的策略語言，旨在擴展原有的 Cedar 權限語言，使其能夠治理具備時間順序的行為序列。
背景與現有技術的侷限
要理解 Dogwood 的必要性，必須先認識 Cedar。Cedar 是 AWS 貢獻給 CNCF（雲端原生計算基金會）的一種權限策略語言，其核心特點是確定性與無狀態性。在 Cedar 的邏輯中，每一次請求被視為獨立事件，只要輸入相同，無論之前發生過什麼或請求的順序如何，結果永遠一致。這種設計極大方便了審計與自動化推理，但對於 AI Agent 而言卻顯得不足。
AI Agent 的運作本質是將多個動作組合地編排成工作流。在實務中，許多安全限制並非針對單一動作，而是存在於序列之中。例如，系統可能要求 Agent 在執行敏感操作前必須先獲得人類批准，或者在接觸機密數據後禁止聯繫外部第三方，亦或是要求累計消費金額不能超過特定限額。這些需求涉及對過去行為的記憶，而 Cedar 的無狀態特性使其無法描述這種時間上的依賴關係。
Dogwood 的核心運作機制
Dogwood 並非取代 Cedar，而是將其能力擴展至時間維度。它在 Cedar 的基礎上引入了時間條件（Temporal Condition），允許策略引擎在做出決定時，回溯查看 Agent 的事件歷史紀錄。這些事件紀錄包含了工具調用的請求、執行結果、輸入參數以及請求者的身份。
在技術實現上，Dogwood 會將時間條件轉換為 Cedar 的上下文欄位（Context Field）。當解釋器在執行決策前，會先從事件歷史中提取相關數據填充至該欄位，再交由 Cedar 進行最終判定。為了處理常見的序列模式，Dogwood 提供了四種核心運算子：首先是判斷特定事件是否在某時間窗內發生；其次是計算事件發生的次數（count_within）；第三是計算不同數值的數量（count_distinct_within）；最後是計算累計總額（sum_within）。此外，透過 bind 運算子，開發者可以為聚合結果命名，以便將當前請求與歷史累計值進行比對。
併發處理與分佈式系統的陷阱
AWS 在發布 Dogwood 時特別強調了一個關於正確性的陷阱，這對於平台工程師至關重要。在處理如轉帳等金融操作時，若策略是基於回應事件（Response Events）而非請求事件（Request Events）來計算限額，可能會被併發操作擊破。
舉例來說，若設定最高限額為 5,000 美元，而 Agent 同時發出三個 2,000 美元的轉帳請求。如果策略僅在收到回應後才累加金額，那麼在三個請求都完成之前，系統看到的累計金額始終為 0，導致三個請求全部通過，最終總額達到 6,000 美元，突破了限額。但若策略是針對請求事件進行累計，第三個請求在發出瞬間就會被攔截。這種非同步性在多 Agent 協作的複雜環境中會更加明顯，將傳統的分佈式系統併發問題帶入了 AI 治理領域。
實務限制與部署考量
儘管 Dogwood 提供了強大的序列治理能力，但這種能力是以犧牲部分特性為代價的。首先，時間條件需要狀態化的事件追蹤，這意味著評估時間會隨著事件日誌的長度而增加。更重要的是，由於引入了時間維度，Dogwood 失去了 Cedar 最核心的優勢——自動化推理分析工具，無法對包含時間條件的策略集進行形式化分析。這也是為何 AWS 選擇將其設計為獨立語言而非單純擴展 Cedar。
在部署層面，AWS 明確指出目前的參考解釋器僅供探索與測試，不建議直接用於生產環境的授權。要讓 Dogwood 真正運作，開發者必須建立一套可信的事件日誌系統，確保時間戳正確、事件經過認證且租戶數據完全隔離。此外，由於工具調用歷史可能包含敏感資訊，必須制定嚴格的數據保留策略。
未來展望與生態整合
Dogwood 的發布與 MCP（Model Context Protocol）規範的更新相輔相成。MCP 讓 Agent 的流量透過標準的 HTTP 標頭變得可讀，使得閘道器能識別 Agent 正在調用哪個工具；而 Dogwood 則定義了這些調用序列是否被允許。
未來 Dogwood 的路線圖將涵蓋絕對時間窗（基於牆上時鐘的規則）、活性屬性（確保某事最終必須發生）以及針對多 Agent 系統的協調策略（如權限移交與鎖定機制）。目前 AWS 採取先收集回饋、待語言穩定後再開放貢獻的策略，旨在為 AI Agent 的自主行為建立一套可預測且安全的護欄。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。