아마존웹서비스(Amazon Web Services, 이하 AWS)는 오늘 AI 에이전트의 행동을 개별 작업 단위뿐 아니라 연속된 작업의 흐름까지 검증할 수 있는 오픈소스 정책 언어 '도그우드(Dogwood)'를 공개했다.
AWS는 도그우드를 기반으로 한 시간 기반 정책(temporal policies)을 아마존 베드록 에이전트코어의 정책 기능인 에이전트코어 정책(AgentCore Policy)에 새롭게 적용했으며, 에이전트코어 게이트웨이(AgentCore Gateway)에 속도 제한 기능도 추가했다.
AI 에이전트는 작업을 수행하면서 스스로 다음 행동을 결정하기 때문에 각 단계가 개별적으로는 문제가 없어도 전체 행동의 흐름에서는 위험한 패턴이 나타날 수 있다. 예를 들어 고객 계좌를 조회한 뒤 조회하지 않은 다른 계좌로 송금하거나, 승인 한도 이하의 주문을 여러 차례 실행해 전체 예산을 초과하거나, 오류가 발생한 도구를 반복해서 재시도하면서 토큰 예산을 소진할 수 있다. 맥킨지(McKinsey)의 'State of AI Trust in 2026' 조사에 따르면 조직의 약 80%가 이미 AI 에이전트의 위험한 행동을 경험했으며, 보안 및 리스크에 대한 우려는 에이전틱 AI 확산의 가장 큰 걸림돌로 꼽힌다.
개별 행동 넘어 전체 흐름 판단하는 시간 기반 정책
기존 에이전트코어 정책은 접근 권한을 제어하는 오픈소스 정책 언어 시더(Cedar)를 기반으로 각 도구 호출을 독립적으로 평가해 허용 여부를 판단한다. 각 요청을 빠르고 일관되게 평가할 수 있지만, 개별 요청만 평가하기 때문에 여러 행동이 이어지는 흐름 자체를 규칙으로 표현하기 위한 언어는 아니다.
새롭게 제공되는 시간 기반 정책은 현재 요청뿐 아니라 해당 세션에서 에이전트가 이미 수행한 행동을 함께 살펴 도구 호출의 허용 여부를 판단한다. 앞선 호출의 반환값과 다음 호출의 입력값이 일치하도록 요구하거나, 에이전트가 사용한 누적 금액을 계산해 누적 금액이 예산 한도에 도달하면 개별 결제가 한도 이하여도 다음 결제를 차단할 수 있다. 또한 특정 단계가 정해진 순서에 따라 수행되도록 하거나 중요한 행동에 앞서 사람의 승인이 선행되도록 요구하는 정책도 설정할 수 있다.
시간 기반 정책은 에이전트 자체 코드가 아닌 게이트웨이 계층에서 적용된다. 에이전트는 정책 로직을 볼 수 없으며, 프롬프트 인젝션이나 에이전트 코드의 결함으로도 에이전트가 스스로 정책을 변경하거나 우회할 수 없다. 정책 결정은 기본 거부(deny by default) 원칙에 따라 이뤄지고, 감사 로그에 관련 맥락과 함께 기록된다.
도그우드: 시더를 내장한 오픈소스 정책 언어
시간 기반 정책을 지원하는 도그우드는 AI 에이전트를 위해 설계된 새로운 오픈소스 정책 언어다. 도그우드는 기존 시더 정책을 지원하면서 에이전트의 최근 이벤트 이력을 참조할 수 있는 시간 조건(temporal condition)을 추가한다. 이를 통해 에이전트의 이전 행동 이력을 바탕으로 도구 사용 순서, 사전 조건, 빈도 및 누적 사용량 등에 대한 정책을 표현할 수 있다. 도그우드는 시간과 순서를 다루는 수학 분야인 시간 논리(temporal logic)를 기반으로 설계돼, 정책이 실제로 무엇을 허용하고 무엇을 막는지 실행 전에 분석할 수 있다.
도그우드는 기존 시더 정책과 호환돼 기존 정책을 재작성하거나 마이그레이션하지 않고 그대로 사용할 수 있으며, 시더의 기존 권한 부여 원칙도 그대로 유지한다. 도그우드는 아파치 2.0(Apache 2.0) 라이선스의 오픈소스 사양 및 참조 구현으로 제공된다.
게이트웨이 속도 제한으로 에이전트 사용량 통제
AWS는 에이전트코어 게이트웨이에 속도 제한 기능도 새롭게 제공한다. 이를 통해 팀은 기존 오픈 인증(Open Authorization, OAuth) 또는 AWS 자격 증명 및 접근 관리(AWS Identity and Access Management, IAM) 기반의 사용자 자격 증명을 활용해 게이트웨이 뒤에 연결된 도구, 모델 및 에이전트에 대한 사용자별 사용량 상한을 설정할 수 있다.
속도 제한은 분당 요청 수, 분당 토큰 처리량, 동시 연결 수 등 세 가지 지표를 기준으로 설정할 수 있어 에이전트의 다양한 리소스 사용 방식을 관리할 수 있다. 이 중 토큰 기준 제한은 추론 대상에만 적용되며, 입력과 출력 토큰을 합산해 계산한다. 제한은 초 또는 분 단위의 시간 구간에 적용할 수 있으며, 설정 후 에이전트 코드를 수정하지 않아도 적용된다. 사용자, 팀, 도구 및 모델에 따라 서로 다른 상한을 설정할 수 있어 플랫폼 팀이 애플리케이션 코드에 별도의 제한 로직을 구현하지 않고도 사용량을 관리할 수 있다.
시간 기반 정책과 게이트웨이 속도 제한 기능은 오늘부터 이용할 수 있으며, 두 기능은 각각 독립적으로 도입할 수 있다. 또한 기존에 운영 중인 에이전트를 재설계하지 않고 적용할 수 있다.
도그우드 참조 구현과 언어 가이드는 깃허브(GitHub)에서 확인할 수 있다.
[영상] NVIDIA RTX SPARK는 인텔과 AMD의 X86 노트북 시장을, AI를 무기로 정복할 수 있을까? 
