AWS，2025-12-02（re:Invent）。AgentCore 新增的策略（Policy）在模型推理循环之外拦截 Gateway 的工具调用，按细粒度权限放行或拒绝；评估（Evaluations）按真实行为给正确性与有用性打分；记忆加了情景策略；运行时支持双向流式，用于语音 Agent。前两项当时是 Preview，2026 年 3 月才 GA。
当时公告：AgentCore adds quality evaluations and policy controls。
Amazon Bedrock AgentCore（re:Invent 2025）
2025-12-02。云厂商把工具调用裁决移到模型推理循环之外：策略拦截 Gateway 调用，评估实时看行为质量。
1 - AWS AgentCore（材料）
按 2025-12-02 AWS 博客转述：策略在推理循环外裁决、实时评估、情景记忆、双向流式。
主要出处：AWS，2025-12-02，Amazon Bedrock AgentCore adds quality evaluations and policy controls；同日 Strands Agents SDK 见 TypeScript 预览公告（12-03）。本页不复制公告全文。
当时说了什么
- Policy in AgentCore（Preview）：在工具真正执行之前拦截 AgentCore Gateway 的调用，按细粒度权限决定放行或拒绝。公告的措辞值得抄下来：策略施加于 agent 推理循环之外，把 Agent 当作「自主行动者」——它的决定在到达工具、系统或数据之前需要被校验。策略可以用自然语言或开源策略语言 Cedar 写。
- AgentCore Evaluations（Preview）：按真实运行行为评估质量，内置正确性、有用性等维度，也可自定义；结果在 CloudWatch 里看并可告警。
- AgentCore Memory 的情景（episodic）策略：长期记忆的一种，让 Agent 从经历中学习。
- AgentCore Runtime 双向流式：用户与 Agent 可以同时说话，用于语音 Agent。
时间线要分清
- 2025-12-02 是 Preview。公告页顶部有编者更新：Policy 2026-03-03 GA，Evaluations 2026-03-31 GA。写 2025 时不能写成已经可用。
- 同日发布的 Strands Agents SDK 变化属于开发面：TypeScript 支持进入预览、边缘设备支持 GA、steering 实验特性。语言与部署位置的变化，不是循环语义的变化。
当时不是什么
不是新模型，也不是新的 Agent 架构。AgentCore 不改循环怎么转，改的是循环之外那一圈：谁来判断一次工具调用该不该发出去、谁来给整段行为打分。这两件事此前默认由开发者自己写在应用里，或者干脆交给模型。
2 - AWS AgentCore 讲解
「拒绝」从模型内决策移到平台层。Agent 被当成自主行动者，行动前先过一道不属于它的裁决。
当时解决了什么问题
2023 以来，「Agent 不要做危险的事」一直靠三样东西：系统提示、工具白名单、人盯着。前两样都在模型或应用里，第三样不可扩展。AgentCore 的策略换了个位置——在推理循环之外拦截工具调用，用独立于模型的规则放行或拒绝。
这个位置很关键。模型被 prompt injection 说服、或者自己判断失误时，提示词层面的防护是同一套推理在自我审查；而循环外的裁决不是。公告把它写成「把 Agent 当作自主行动者」：不是不相信模型，是不把最终决定权交给它。
评估是另一半：正确定性、有用性这类维度按真实运行行为算，而不是靠离线基准。第二层（完成判据）第一次出现在平台侧，而不是只在论文和基准里。
对后续 LLM 与 Agent 的影响
这两项 2026 年 3 月 GA，比 2026 年的组织身份讨论早了三个月。把 Agent 的权限与审计从「借用户的 OAuth」里拆出来，是 Claude Tag 与 Agent identity 同一年的命题——只是那两家走的是身份与 scope，AWS 走的是策略拦截点。三条路指向同一件事：主体和裁决不能留在模型里。
对能力栈的影响是：平台侧开始出现独立的治理层，与循环、沙箱并列。这层在 2025 年属于首家，到 2026 年才会被当作标配讨论。