AWS Dogwood 上手：给 Agent 的「多步工具调用」装上一套红绿灯策略

Dogwood 以 Cedar 为底座，学过 Cedar 的同学可以直接上手；核心新增是时序条件：

策略结构（概念）：
permit (principal, action, resource)
when { 条件表达式 }              ← 静态条件
when { 时序条件 }                ← 新增：时间/顺序/计数

时序条件示例：
· 时间窗：仅在 09:00-18:00 允许
  when { time_in_range(now(), "09:00", "18:00") }
· 顺序：必须先「审批」再「付款」
  when { occurred_before(action.pay, action.approve) }
· 计数：同一 Agent 每分钟工具调用 ≤ 60 次
  when { call_count(agent, window=60s) <= 60 }

先写最基础的动作级策略，再叠加时序：

示例：允许客服 Agent 读工单、拒绝删工单
permit (
  principal in Agent::"cs_agent",
  action in [Action::"ticket.read"],
  resource in Ticket::*
);
deny (
  principal in Agent::"cs_agent",
  action in [Action::"ticket.delete"],
  resource in Ticket::*
);

测试习惯：
· 正向：cs_agent 读工单 → 允许
· 反向：cs_agent 删工单 → 拒绝
· 边界：其他 Agent 读工单 → 拒绝

Agent 最经典的越限手法是并发拆单：单次不超限，100 个并发就绕过了限额。Dogwood 用时间窗计数治理：

防并发绕限策略（概念）：
permit (principal, action, resource)
when {
  call_count(principal, action.category,
             time_window=1min) <= 60
};

效果：
· 同一 Agent 60 秒内同类调用超过 60 次 → 拒绝
· 并发请求在策略层被统一计数，而非各算各的
· 配额按 Agent / 按类别 / 按时间窗自由组合

监控：
· 拒绝次数与拒绝原因要进日志
· 高频触发阈值说明任务设计有问题，
  应回到任务拆分而非一味放宽配额

很多业务规则本质是顺序约束：先审批后付款、先备份后删除、先测试后发布。Dogwood 的时序条件直接表达：

顺序约束示例：
· 付款必须在审批之后
  deny (principal, action, resource)
  when { !occurred_before(action.pay, action.approve) };

· 删除前必须已有备份
  deny (principal, action in [Action::"data.delete"],
        resource)
  when { !occurred_before(action.backup, action.delete) };

· 发布前必须通过测试
  deny (principal, action in [Action::"app.deploy"],
        resource)
  when { !occurred_before(action.test_pass, action.deploy) };

Dogwood 已集成到 Bedrock AgentCore Policy——AWS 托管 Agent 运行时可以直接引用策略：

集成路径（概念）：
① 在 AgentCore 中定义 Agent 与工具集
② 编写 Dogwood 策略（时序条件规则）
③ 挂载到 Agent 的 Policy 配置
④ Agent 每次工具调用前，运行时执行策略判定
   · 单次动作 → 动作级判定
   · 序列动作 → 时序/计数/顺序判定
⑤ 拒绝事件写入审计日志，可回放

适用场景：
· Bedrock 生态的多步骤工作流
· 需要「策略即代码」可版本化的企业治理

治理策略上线前，按软件工程的规格对待：

测试矩阵（每个策略至少 4 个用例）：
· 正向：符合条件 → 允许
· 反向：违反条件 → 拒绝
· 边界：刚好等于阈值 → 按设计判定
· 时序：乱序/并发/超窗 → 拒绝

上线步骤：
① 模拟环境灰度：用回放流量跑一遍策略
   （把真实调用日志喂给策略引擎，看误杀率）
② 小流量观察：策略拒绝率 vs 业务基线
③ 全量上线：拒绝原因可查、可申诉、可回滚
④ 周期性回归：Agent 新增工具时重跑测试矩阵