亚马逊云科技开源 Dogwood：给 AI 智能体的工具调用立规矩

亚马逊云科技最近 开源了 Dogwood ，这是一门用于智能体工具调用的策略语言。它与 Cedar 的不同之处在于，其规则可以回溯查看智能体已经执行过的操作。Dogwood 采用 Apache 2.0 许可证发布，目前 AgentCore Policy 已支持该语言。

AgentCore Policy 于去年 re:Invent 大会上推出。它位于模型之外，作为一个确定性的控制层运行。模型提出工具调用，策略引擎接受或拒绝调用，而模型永远不会接触执行机制。Cedar 是用于编写这些决策的语言。亚马逊云科技于 2025 年末将其贡献给 CNCF，成为一个沙箱项目。

Cedar 每次只查看一个请求。将同一个请求输入两次，无论之前发生了什么，也无论策略以什么顺序运行，得到的答案都相同。审计和自动推理都依赖这一特性。代价是 Cedar 只能限制单个操作，无法描述操作序列。

智能体会将多个操作组合成工作流，而团队需要的约束通常存在于操作序列之中：在采取行动前获得批准、确保累计总额不超过限制，以及在接触机密数据后停止联系外部人员。

Dogwood 增加了第二种子句类型。Cedar 条件写在 when 中，而时序条件则写在 when temporal 中，并且可以读取智能体的事件历史。事件对应工具调用请求及其结果，携带输入参数和发起请求的主体。操作模式来自智能体的 MCP 工具清单，每个工具对应一个操作，由 Dogwood 直接生成。在底层，时序条件会被转换为 Cedar 上下文字段，解释器会在 Cedar 作出决策之前，根据事件历史填充该字段。

四种操作符涵盖了常见模式，它们全都基于核心 度量一阶时序逻辑 子集，以标准库宏的形式定义，而不是作为语言原语：formerly 用于判断某个时间窗口内是否发生过某件事，count_within 用于计算发生次数，count_distinct_within 用于计算不同值的数量，sum_within 用于计算累计总额。bind 操作符可以为聚合结果命名，以便将当前请求与其进行比较。

这项公告中最具启发性的部分，是平台团队会很熟悉的一个正确性陷阱。针对响应事件而不是请求事件编写的速率限制，可能会被并发操作绕过。亚马逊云科技展示了这一过程：三笔并发的 2000 美元转账在任何一笔完成之前到达，因此，对响应求和的策略看不到任何正在处理的金额，于是允许三笔转账全部越过 5000 美元的上限；而对请求求和的相同策略则会拒绝第三笔转账。两个策略之间仅相差一个词。

这种异步性并非无关紧要。智能体会并行发起工具调用，而在多智能体环境中，操作交错会让情况更加复杂。一个按顺序理解时看似正确的策略，可能在并发环境中失效；这是一个出现在新领域中的典型分布式系统问题。

亚马逊云科技坦率说明了相应代价。时序求值需要有状态地追踪事件，而且求值时间可能取决于事件日志的长度。更重要的是，时序条件不支持 Cedar 提供的自动推理分析工具，因此使用这些条件的策略集将失去接受形式化分析的能力。团队表示，这正是他们选择构建一门独立语言，而不是扩展 Cedar 的原因。

现有 Cedar 策略仍然可以继续使用。任何有效的 Cedar 策略也都是有效的 Dogwood 策略，因此无须重写任何内容。默认拒绝机制保持不变，forbid 仍然优先于 permit。

Apache 2.0 许可证并不意味着可以直接部署。亚马逊云科技表示， 参考解释器 用于探索和测试该语言，而不是在生产环境中执行授权。该仓库对其他要求的说明也非常直白。时间戳必须可信，事件必须经过身份验证。字段名和操作名必须保持一致。轨迹需要持久化存储，决策需要记录日志，并且绝不能让一个租户的历史记录流入另一个租户。保留策略也很重要，因为工具调用历史中包含敏感数据。这相当于需要构建一个值得信任的事件日志。如果做不到这一点，策略便毫无意义。

Dogwood 发布的同一周，MCP 2026-07-28 规范通过强制要求方法和工具名称标头，让 HTTP 基础设施能够识别智能体流量。两者分别解决了同一个问题中彼此相邻的两个部分。标头让网关能够看到智能体正在调用哪个工具；Dogwood 则用于表达一系列此类调用累计起来可以执行哪些操作。

路线图中的项目包括：支持以现实时间边界为基准的规则所需的绝对时间窗口；用于断言最终必须发生什么、而不是禁止什么发生的活性属性；以及面向多智能体系统、涵盖任务交接和锁的编排策略。

此次发布由亚马逊云科技副总裁兼杰出工程师 Marc Brooker、自动推理团队的 Joseph Tassarotti，以及亚马逊云科技 Agentic AI 的 Jean-Baptiste Tristan 共同撰写，其中 Marc Brooker 曾主导 Aurora DSQL 的发布。亚马逊云科技目前尚不接受贡献，并表示计划先收集反馈，待语言趋于稳定后再开放贡献。

原文链接： https://www.infoq.com/news/2026/08/aws-dogwood-agent-policy/