Auf den Punkt: Amazon Bedrock AgentCore erweitert seine Policy-Engine um "Temporal Policies", die Tool-Aufrufe von KI-Agenten im Kontext der bisherigen Session-Historie am Gateway-Perimeter prüfen und so vom Agenten nicht umgehbar sind.
Amazon Bedrock AgentCore erhält mit "Temporal Policies" eine neue Kontrollebene, die Tool-Aufrufe von KI-Agenten nicht mehr isoliert, sondern im Kontext ihrer bisherigen Session-Historie bewertet. Damit reagiert AWS auf ein grundlegendes Problem: Agenten entscheiden zur Laufzeit selbst, welche Tools sie in welcher Reihenfolge und mit welchen Argumenten aufrufen, was klassische, zustandslose Zugriffskontrollen umgeht.
Bisherige Autorisierungsmechanismen prüfen jede Aktion einer Anwendung isoliert und verlassen sich auf deterministische Business-Logik, um Reihenfolge und Aktualität von Daten sicherzustellen. KI-Agenten unterlaufen dieses Modell, weil sie zur Laufzeit selbst festlegen, welche Tools sie mit welchen Argumenten und in welcher Abfolge aufrufen. Ein einzelner Tool-Call kann dabei für sich betrachtet harmlos wirken, im Kontext eines vorherigen Aufrufs – etwa nach dem Lesen aus einer nicht vertrauenswürdigen Datenquelle – aber schädlich sein. AWS beschreibt in seinem Blogbeitrag drei konkrete Fehlerszenarien: Ein Agent ruft ein Tool namens lookup_customer auf, halluziniert anschließend eine falsche Kontonummer und übergibt diese an ein transfer_funds-Tool, wodurch Geld auf ein falsches Konto überwiesen wird. Ein außer Kontrolle geratener Agent führt in einer Schleife Dutzende Trades aus, ohne dass die kumulierte Risikoexposition erfasst wird. Und ein Agent genehmigt und verweigert innerhalb von Sekunden denselben Versicherungsanspruch.
Temporal Policies in Amazon Bedrock AgentCore setzen genau an diesem Punkt an: Sie definieren zustandsbehaftete Regeln, die eine aktuelle Anfrage an ein AgentCore-Gateway-Target im Kontext vorheriger Ereignisse der Agenten-Trajektorie bewerten. Entscheidend ist, dass diese Policies am Perimeter des AgentCore Gateway ausgeführt werden – außerhalb des eigenen Codes des Agenten. Dadurch kann der Agent die Regeln weder abfangen noch manipulieren, unabhängig davon, wie er promptet wird oder welche Bugs im Agentencode vorhanden sind. Die bereits existierenden, zustandslosen Policy-Kontrollen in AgentCore Policy legen fest, wer welches Tool unter welchen Bedingungen aufrufen darf, prüfen aber jede Anfrage für sich und erkennen die genannten Muster nicht, weil das Problem erst in der Abfolge der Aktionen sichtbar wird.
Als konkrete Anwendungsfälle nennt AWS die Durchsetzung von Ausgabeintegrität über verkettete Tool-Aufrufe hinweg, bei der ein Argument exakt mit der Ausgabe eines vorherigen Tool-Calls übereinstimmen muss, um Halluzinationen oder Wertsubstitutionen zu verhindern. Weiter gehört dazu die Erzwingung einer bestimmten Aufrufreihenfolge zur Einhaltung von Standard Operating Procedures, das Erfordernis einer expliziten menschlichen Freigabe vor destruktiven oder sensiblen Aktionen sowie die Prüfung der Datenaktualität, sodass ein Lookup innerhalb eines definierten Zeitfensters abgeschlossen sein muss, bevor eine abhängige Aktion autorisiert wird. Zusätzlich lassen sich laut AWS Berechtigungen automatisch verschärfen, wenn ein Agent ohne menschliche Beteiligung operiert, sowie eine kumulative finanzielle Obergrenze pro Session festlegen.
Für Engineering-Teams, die Agenten mit Zugriff auf produktionsrelevante Systeme betreiben, verschiebt sich damit die Autorisierungslogik von der einzelnen Anfrage auf die gesamte Session-Trajektorie – und zwar durchgesetzt an einer Stelle, die außerhalb der Kontrolle des Agenten liegt. Das reduziert die Angriffsfläche für Prompt-Injection-artige Umgehungsversuche und Bugs im Agentencode, da die Policy-Engine unabhängig vom internen Zustand des Agenten arbeitet.
Quelle: aws.amazon.com · Erschienen 6. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.