Timeline: AWS AgentCore（材料）

Thu, 17 Sep 2026 00:00:00 +0000

主要出处：AWS，2025-12-02，Amazon Bedrock AgentCore adds quality evaluations and policy controls；同日 Strands Agents SDK 见 TypeScript 预览公告（12-03）。本页不复制公告全文。

当时说了什么

Policy in AgentCore（Preview）：在工具真正执行之前拦截 AgentCore Gateway 的调用，按细粒度权限决定放行或拒绝。公告的措辞值得抄下来：策略施加于 agent 推理循环之外，把 Agent 当作「自主行动者」——它的决定在到达工具、系统或数据之前需要被校验。策略可以用自然语言或开源策略语言 Cedar 写。
AgentCore Evaluations（Preview）：按真实运行行为评估质量，内置正确性、有用性等维度，也可自定义；结果在 CloudWatch 里看并可告警。
AgentCore Memory 的情景（episodic）策略：长期记忆的一种，让 Agent 从经历中学习。
AgentCore Runtime 双向流式：用户与 Agent 可以同时说话，用于语音 Agent。

时间线要分清

2025-12-02 是 Preview。公告页顶部有编者更新：Policy 2026-03-03 GA，Evaluations 2026-03-31 GA。写 2025 时不能写成已经可用。
同日发布的 Strands Agents SDK 变化属于开发面：TypeScript 支持进入预览、边缘设备支持 GA、steering 实验特性。语言与部署位置的变化，不是循环语义的变化。

当时不是什么

不是新模型，也不是新的 Agent 架构。AgentCore 不改循环怎么转，改的是循环之外那一圈：谁来判断一次工具调用该不该发出去、谁来给整段行为打分。这两件事此前默认由开发者自己写在应用里，或者干脆交给模型。

Timeline: AWS AgentCore 讲解

Thu, 17 Sep 2026 00:00:00 +0000

当时解决了什么问题

2023 以来，「Agent 不要做危险的事」一直靠三样东西：系统提示、工具白名单、人盯着。前两样都在模型或应用里，第三样不可扩展。AgentCore 的策略换了个位置——在推理循环之外拦截工具调用，用独立于模型的规则放行或拒绝。

这个位置很关键。模型被 prompt injection 说服、或者自己判断失误时，提示词层面的防护是同一套推理在自我审查；而循环外的裁决不是。公告把它写成「把 Agent 当作自主行动者」：不是不相信模型，是不把最终决定权交给它。

评估是另一半：正确定性、有用性这类维度按真实运行行为算，而不是靠离线基准。第二层（完成判据）第一次出现在平台侧，而不是只在论文和基准里。

对后续 LLM 与 Agent 的影响

这两项 2026 年 3 月 GA，比 2026 年的组织身份讨论早了三个月。把 Agent 的权限与审计从「借用户的 OAuth」里拆出来，是 Claude Tag 与 Agent identity 同一年的命题——只是那两家走的是身份与 scope，AWS 走的是策略拦截点。三条路指向同一件事：主体和裁决不能留在模型里。

对能力栈的影响是：平台侧开始出现独立的治理层，与循环、沙箱并列。这层在 2025 年属于首家，到 2026 年才会被当作标配讨论。