Trust in Depth от AWS: автономия агентов без слепого доверия

Чем больше работы отдают агенту, тем быстрее ломается схема «человек подтверждает каждый шаг»: внимание рассеивается, а помощник с нужными правами ждёт галочек. AWS собрала Trust in Depth — слои доверия по жизненному циклу: действовать самому, когда результат можно проверить, и звать человека только на неоднозначные решения.

Это созвучно Defense in Depth, но знак другой: не только ограничить ущерб, а расширить безопасную автономию. Тест, который прошёл сегодня, мало говорит о завтрашнем маршруте — агент может дойти до цели иначе. Для точных правил в статье упирают в automated reasoning: доказать, что ограничение держится на всех путях в рамках модели системы, или найти контрпример. В AWS такие проверки в проде больше десяти лет — от IAM на 2,1 млрд запросов в секунду до Nitro, S3 Block Public Access и VPC Reachability Analyzer; теперь тот же класс механик переносят на агентов.

Четыре вопроса

• Scope — до запуска: задача агента, нужные возможности и то, что делать нельзя ни при каких условиях.
• Know — при выкладке: кто разрешил, какая идентичность, можно ли ответить за каждое действие от имени компании.
• Bound — в работе: шаги остаются в политике и агент всё ещё может выполнить работу.
• Observe — после прогона: восстановить цепочку и учиться на ошибках.

До первого запуска

Фраза вроде «решить проблему клиента» задаёт цель, но не лимиты на данные, инструменты и момент остановки. На этапе сборки AWS ссылается на Kiro — spec-driven требования и поиск противоречий до кода, плюс property-based тесты на реализацию; открытый Strands задаёт модель, инструкции и тулы, есть managed runtime. Границы переводят в правила: в Bedrock AgentCore Policies на обычном языке описывают доступ к API и данным, automated reasoning ищет избыточные права и внутренние противоречия до вступления политики в силу.

Каталог, gateway и наблюдение

Agent Registry — одобренный каталог агентов, MCP-серверов, тулов и skills с workflow согласования; AgentCore выдаёт агенту собственную идентичность и проверяет её на каждом запросе. Ограничения не должны жить в рассуждениях модели: политика на AgentCore Gateway режет каждый tool call снаружи, temporal policies меняют допустимые права по ходу сессии, Guardrails фильтрует ответы и входящий контент. Strands Box как sandbox снаружи инструкций держит те же границы от локальной сессии до прода. CloudWatch Omni складывает трейсы — вызовы модели и инструментов на таймлайне — и встроенные evaluators оценивают корректность и выбор тула; неудачные прогоны идут в набор для регрессии.

Кейс: offboarding

В примере help desk-агент снимает доступ уходящему Sam, передаёт почту преемнику и освобождает лицензию, не задевая письма под legal hold. Два жёстких правила: блокировка входа до конвертации и шаринга ящика; проверка legal hold до смены лицензии. Их закладывают в политики AgentCore до запуска — последовательность, которую легко нарушить шагами, разрешёнными по отдельности.

Источник: Trust in Depth: Giving agents more autonomy without losing control.