AWS beschreibt Trust in Depth als unabhängige, sich gegenseitig verstärkende Ebenen zur Steuerung von Agenten: den Aufgabenbereich vor der Ausführung festlegen, den Agenten bei der Bereitstellung kennen, Grenzen während der Ausführung durchsetzen und jeden Durchlauf auswerten. Wo sich Regeln präzise formulieren lassen, kommen Beweise hinzu. Inhaltsfilter, Tests oder Überwachung allein garantieren laut dem Beitrag kein korrektes Verhalten beim nächsten Durchlauf.

Für dieselbe Aufgabe können Agenten unterschiedliche Werkzeuge und Ausführungspfade wählen. Jede Aktion von Menschen freigeben zu lassen, kann jedoch Engpässe und Ermüdung bei der Prüfung verursachen. AWS empfiehlt eigenständiges Handeln bei überprüfbaren Aktionen und menschliches Urteil bei Mehrdeutigkeit. Mehr Autonomie soll auf nachgewiesener Regeldurchsetzung, zuverlässiger Aufgabenerfüllung und einem etablierten Umgang mit Fehlern beruhen.

Aufgaben, Zugriffe und Identität festlegen

Zur Abgrenzung gehören Zuständigkeiten, verfügbare Werkzeuge, Daten und Dienste, verbindliche Regeln sowie Entscheidungen, die Menschen vorbehalten bleiben. AWS empfiehlt nur notwendige Zugriffe und eine Prüfung der Berechtigungen, die Werkzeuge oder Rollen mitbringen. Kiro übersetzt laut AWS Absichten in strukturierte Anforderungen, erkennt mit automatisiertem Schlussfolgern Widersprüche, Unklarheiten und Lücken und leitet eigenschaftsbasierte Tests ab. Strands wird als Open-Source-Werkzeugsatz für Modelle, Anweisungen und Werkzeuge sowie mit einer verwalteten Laufzeitumgebung beschrieben.

Mit Policies in Amazon Bedrock AgentCore lassen sich laut AWS erlaubte Werkzeuge, APIs und Daten in Alltagssprache beschreiben. Vor dem Inkrafttreten werden übermäßige Zugriffe und Widersprüche geprüft. Agent Registry beschreibt AWS als verwalteten Katalog genehmigter Agenten, MCP-Server, Werkzeuge und Skills. Administratoren steuern Freigabe, Auffindbarkeit und Entfernung; Menschen und Agenten können Einträge finden und wiederverwenden. AgentCore weist laut AWS jedem Agenten eine eigene Identität zu und prüft sie bei jeder Anfrage, um Aktionen und Befugnisse zuzuordnen.

Grenzen außerhalb des Agenten durchsetzen

Der Beitrag fordert die Prüfung vollständiger Aktionsfolgen: Einzeln erlaubte Schritte können zusammen ein verbotenes Ergebnis erzeugen. Policy in AgentCore setzt laut AWS Regeln bei jedem Werkzeugaufruf durch, der über AgentCore Gateway läuft, unabhängig vom Schlussfolgern des Agenten. Zeitbezogene Regeln berücksichtigen den Sitzungsverlauf und passen Berechtigungen während der Arbeit an. Die beschriebene Durchsetzung gilt für Aufrufe über dieses Gateway.

Amazon Bedrock Guardrails filtert nach Darstellung von AWS schädliche oder themenfremde Ein- und Ausgaben und maskiert sensible Daten. Automated Reasoning checks sollen die Übereinstimmung einer Antwort mit einer vorgegebenen Richtlinie beweisen. Strands Box beschreibt AWS als Open-Source-Sandbox, die erlaubte Zugriffe auf Dateien, Dienste und Zugangsdaten außerhalb der Agentenanweisungen durchsetzt. Dieselben Grenzen sollen von der lokalen Entwicklung bis zum Produktionsbetrieb gelten.

Ein Beweis hat einen festgelegten Geltungsbereich. Automatisiertes Schlussfolgern prüft präzise Regeln auf allen Pfaden, die eine Systembeschreibung und ihre Annahmen abdecken. Es liefert einen Beweis oder einen Fehlerfall. Kontextabhängige Erwartungen wie ein freundlicher Ton sind damit nicht erfasst. Die Aussage gilt für die formulierten Regeln und Annahmen, nicht als uneingeschränkte Sicherheitsgarantie.

Austritt eines Mitarbeiters als Beispiel

In einem illustrativen Ablauf erhält ein Agent sechs Werkzeuge, aber keines zum Löschen von Konten. Vor dem Umwandeln und Freigeben von Sams Postfach muss er dessen Anmeldung sperren; vor einem Wechsel der E-Mail-Lizenz muss er rechtliche Aufbewahrungspflichten prüfen. Das Gateway blockiert verfrühte Aufrufe. Anschließend sperrt der Agent die Anmeldung, überträgt Priya den Postfachzugriff, prüft und aktiviert die erforderliche Aufbewahrung, bestätigt den Schutz und wechselt zu einer passenden Lizenz. Jeder Schritt wird protokolliert, ohne jede Aktion einzeln durch Menschen freizugeben. Das Beispiel belegt keine tatsächliche Kundenimplementierung oder gemessene Wirkung.

Unauffällige Systemmetriken bedeuten laut AWS noch keine erfolgreiche Aufgabenerfüllung. Kontext, Werkzeugaufrufe, Regelentscheidungen und Ergebnisse sollen rekonstruierbar sein. CloudWatch Omni erfasst laut AWS Ablaufspuren und zeigt Modell- und Werkzeugaufrufe auf einer Untersuchungszeitachse. Evaluatoren bewerten Korrektheit, Kontexttreue und Werkzeugauswahl. Fehlgeschlagene Abläufe können Testdaten für Korrekturen liefern; die Beobachtung im Betrieb ergänzt Tests vor der Bereitstellung.

AWS empfiehlt den Einstieg mit einem Agenten, einem Arbeitsablauf und einer beweisbaren Grenze. Eigenständige Aktionen, notwendige Freigaben und Abbruchbedingungen sollen ausdrücklich feststehen. Mit wachsender Evidenz können Zuständigkeiten erweitert oder eingeschränkt werden.