Dogwood(ドッグウッド)とは

Dogwoodとは、AIエージェントがツールを使う際、現在の要求だけでなく過去の行動も踏まえて許可・拒否を決めるための、オープンソースのガバナンス言語です。AWSが2026年8月6日に公開し、Amazon Bedrock AgentCoreの時間的ポリシーにも採用しました。「承認を得てから送信する」「一定時間の利用額を超えない」といった複数手順の規則を、エージェントの推論とは別の境界で強制するために使います。

現在の要求だけを見るCedarと何が違うのでしょうか？

Dogwoodは、細かなアクセス権を記述するCedarを土台にしています。Cedarは一つの要求をその時点の情報で判定するのが得意です。一方、AIエージェントは複数のツールを順番に呼び出すため、個々の操作が安全でも、組み合わせると問題になる場合があります。例えば、顧客情報を読んだ後に外部へメールを送る操作や、承認を受ける前に支払いを実行する操作です。

Dogwoodはイベント履歴を参照する時間的条件を加え、前の操作、経過時間、回数、合計値などを確認します。これは、伝票一枚だけを見る検印から、申請、承認、実行までの台帳を通して見る審査へ広げるイメージです。既存のCedarポリシーはそのまま利用でき、必要な規則だけを履歴対応へ拡張できます。

どのような事故を抑えるために使うのか

代表的な用途は、事前承認、操作順序、一定時間内の回数、累積金額、情報の鮮度の確認です。株式売買なら、同じ銘柄と数量について承認済みか、価格を直前に取得したか、セッションの上限を超えていないかを、実行前に調べられます。規則に合わない操作は既定で拒否され、禁止規則が許可規則より優先されます。

経営面では、AIへ「注意して」と指示するだけでなく、決裁規程や職務分掌を機械が判定できる条件へ翻訳する選択肢です。ただし、ポリシーの外にある誤判断や、誤った承認データまで防げるわけではありません。対象ツールを絞った実証で、許可される正常系と、必ず拒否したい異常系を先に一覧化します。

本番導入で別途設計するもの

時間的な判定には、過去のイベントを正しく残す仕組みが欠かせません。時刻が改ざんされていないか、誰の操作かを認証できるか、履歴をいつ削除するか、部門や顧客ごとに分離できるかを決めます。履歴が長くなるほど判定コストへ影響する可能性もあるため、保持範囲と必要な証跡を両立させる設計が必要です。

公式リポジトリが提供する参照インタープリターは、言語の意味を理解し、ポリシーを試すための実装です。本番の認可エンジンとして直接使うことは想定されていません。信頼できる時刻、記録が本物だと確かめる仕組み、監査ログ、障害時の復旧、複数利用者の分離は導入側の責任。さらに、Dogwoodの時間的条件は、Cedarが持つ「ポリシーの矛盾や抜けを機械が数学的に点検する」分析ツールへ現時点では対応していません。時間をまたぐ規則は、人のレビューと試験で確かめる必要があります。

経営ルールをどう試すべきでしょうか？

最初から全業務を対象にせず、送金、外部送信、顧客データ取得など、失敗時の影響が大きいツールを一つ選びます。次に「誰の承認が、何分以内に、どの金額まで有効か」を文章ではなく判定条件へ分解。許可、拒否、履歴不足、期限切れの試験を行い、ポリシー変更にもレビューと承認を設けます。

監査担当者が判断理由を追える表示も確認項目です。エージェントの速度だけを評価せず、誤拒否で業務が止まる場合と、誤許可で事故が起きる場合の双方を記録します。緊急時の停止手段と人による代替手順がない状態で、自律実行の範囲を広げないことが重要です。

Dogwoodに関するよくある質問

Dogwoodはプログラミング言語ですか？

一般的な業務アプリを作る言語ではなく、AIエージェントがツールを使える条件を記述するポリシー言語です。

Dogwoodを導入すれば人の承認は不要になりますか？

不要にはなりません。承認を要する規則は機械的に強制できますが、誰が何を承認するか、例外時に誰が止めるかは組織が決めます。

Dogwoodは無料で使えますか？

言語と参照コードはApache 2.0で公開されています。ただし、本番用の状態管理、認証、監査、運用にかかる費用は別です。