Amazon ha rilasciato Dogwood come standard per la governance AI
Amazon ha rilasciato Dogwood, un linguaggio open source per policy temporali degli agenti AI, integrato in Bedrock AgentCore, per standardizzare la governance e mitigare i rischi.
La mossa di AWS per standardizzare le policy temporali degli agenti AI con un linguaggio open source
Amazon ha rilasciato Dogwood sotto licenza Apache 2.0. Non è un gesto di mecenatismo open source: è il tentativo di standardizzare il linguaggio con cui l’intero settore esprimerà le regole di governance temporale per gli agenti. Come Kubernetes ha reso idiomatico YAML per l’orchestrazione, Dogwood punta a fare lo stesso per le policy che decidono se un agente, data la sua traiettoria recente, può o non può compiere una certa azione.
La posta in gioco la dicono i numeri: secondo McKinsey, circa l’80% delle organizzazioni ha già incontrato comportamenti rischiosi da parte di agenti AI, e le preoccupazioni per la sicurezza e il rischio sono la principale barriera alla scalabilità dell’AI agentica, come rilevano i report State of AI Trust in 2026 e Trust in the age of AI agents 2026. Forrester, dal canto suo, indica i costi come primo motivo per cui l’AI agentica raramente raggiunge la scala, nel report The State Of Agentic AI In 2026.
AWS ha costruito Amazon Bedrock AgentCore per dare ai team ciò di cui hanno bisogno per costruire, connettere e ottimizzare agenti su larga scala senza dover assemblare l’infrastruttura da soli, come spiega la documentazione su le nuove capacità di AgentCore. L’agente viene distribuito su Bedrock AgentCore e comunica con i server MCP in esecuzione sulla macchina locale attraverso un bridge MCP dedicato. In questa architettura, il runtime AgentCore ospita l’agente Strands nel cloud e agisce come client MCP.
Il cancello che decide prima che l’agente possa agire
Le temporal policies in Amazon Bedrock AgentCore consentono di definire regole stateful che valutano la richiesta corrente nel contesto degli eventi precedenti nella traiettoria dell’agente. Come spiega il post su le temporal policies di AgentCore, queste regole rispondono a una domanda precisa: «data la traiettoria recente osservata al Gateway AgentCore, questa richiesta specifica è autorizzata?». Il motore di policy restituisce una decisione deterministica ALLOW o DENY e registra il contesto completo della decisione. Le temporal policies negano per impostazione predefinita e il divieto prevale sempre sul permesso.
La vera astuzia architetturale è dove queste policy vengono eseguite: al perimetro del Gateway AgentCore, completamente al di fuori del codice dell’agente. L’agente non vede la logica della policy e non può intercettarla o manipolarla. Come descritto nel post su la sicurezza degli agenti con temporal policies, quando si modifica una policy tutte le sessioni esistenti vengono invalidate.
Nessuna finestra di ambiguità, nessuna esecuzione con regole vecchie.
I casi d’uso comuni per Dogwood e le temporal policies includono:
- garantire l’integrità dell’output tra strumenti concatenati
- importe l’ordinamento delle chiamate agli strumenti
- richiedere l’approvazione umana per azioni privilegiate
- garantire la freschezza dei dati
Limiti di velocità e l’ossessione silenziosa dei CFO
La limitazione di velocità sul gateway AgentCore consente di imporre tetti al consumo per utente attraverso ogni strumento, modello e agente dietro il gateway, utilizzando identità gestite tramite OAuth o IAM. I limiti, applicabili in finestre per secondo e per minuto, coprono quante richieste fa un utente, quanti token elabora un modello e per quanto tempo mantiene aperte le connessioni, come dettagliato nel post su la limitazione di velocità in AgentCore. Entrano in vigore una volta configurati, senza modificare il codice dell’agente. Un interruttore amministrativo che opera a livello di gateway, lontano dagli occhi del modello.
Apache 2.0: il cavallo di Troia si chiama specifica di riferimento
Dogwood è costruito sulla base di Cedar e aggiunge costrutti temporali per la governance degli agenti: limiti di velocità, finestre temporali, passi prerequisiti, trigger di escalation. È disponibile come specifica open source e implementazione di riferimento sotto licenza Apache 2.0. Questo significa che chiunque può leggere, modificare, redistribuire il linguaggio di policy. Ma l’integrazione nativa è con AgentCore Gateway, l’unico posto dove oggi le temporal policy vengono applicate in produzione con tutte le garanzie di isolamento, audit e invalidation automatica delle sessioni.
L’architettura che dà potenza a Dogwood — policy eseguite fuori dal codice dell’agente, negazione predefinita, decisioni deterministiche — è disponibile oggi solo su AWS. Come Kubernetes ha creato un mercato di distribuzioni certificate attorno al core open source, Dogwood rischia di generare una galassia di implementazioni che ruotano attorno a il motore di policy temporal di AgentCore. Chi costruisce agenti dovrà decidere se adottare il linguaggio e ancorarsi all’infrastruttura AWS, oppure restare fuori dallo standard emergente e affrontare in proprio il problema che McKinsey quantifica come la barriera principale alla scalabilità.
