AWS AgentCore 讲解

当时解决了什么问题

2023 以来，「Agent 不要做危险的事」一直靠三样东西：系统提示、工具白名单、人盯着。前两样都在模型或应用里，第三样不可扩展。AgentCore 的策略换了个位置——在推理循环之外拦截工具调用，用独立于模型的规则放行或拒绝。

这个位置很关键。模型被 prompt injection 说服、或者自己判断失误时，提示词层面的防护是同一套推理在自我审查；而循环外的裁决不是。公告把它写成「把 Agent 当作自主行动者」：不是不相信模型，是不把最终决定权交给它。

评估是另一半：正确定性、有用性这类维度按真实运行行为算，而不是靠离线基准。第二层（完成判据）第一次出现在平台侧，而不是只在论文和基准里。

对后续 LLM 与 Agent 的影响

这两项 2026 年 3 月 GA，比 2026 年的组织身份讨论早了三个月。把 Agent 的权限与审计从「借用户的 OAuth」里拆出来，是 Claude Tag 与 Agent identity 同一年的命题——只是那两家走的是身份与 scope，AWS 走的是策略拦截点。三条路指向同一件事：主体和裁决不能留在模型里。

对能力栈的影响是：平台侧开始出现独立的治理层，与循环、沙箱并列。这层在 2025 年属于首家，到 2026 年才会被当作标配讨论。