本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

保单中的护栏

本节介绍如何在策略中定义基岩护栏。Bedrock Guardrails 提供可配置的安全措施，可在请求和响应上运行，以确保 AI 应用程序的安全。目前，您可以在策略中定义即时攻击、内容过滤器和敏感信息防护栏。每个护栏必须配置一个类别和一个介于 0 和 1 之间的阈值。

当护栏评估上下文时，它返回介于 0 到 1 之间的置信度分数，表示评估的内容表现出定义属性的置信度（例如）。PROMPT_INJECTION

护栏区域可用性

下表显示了哪些 AWS 地区在政策中支持护栏：

开始前的准备工作

在开始之前，您需要正确配置您的 IAM 角色。

Permissions

在与您的策略引擎关联的 AgentCore 网关上配置的网关执行角色必须同时具有基岩 AgentCore 操作和 Bedrock Guardrails 的权限。该bedrock:InvokeGuardrailChecks权限是必需的，因为策略数据平面使用源自网关执行角色的 FAS（前向访问会话）凭证代表您调用 Bedrock Guardrails API。

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "bedrock-agentcore:*",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "bedrock:InvokeGuardrailChecks",
      "Resource": "*"
    }
  ]
}

支持的护栏

在政策中定义护栏

要在策略中定义护栏，您可以将策略编写为代码，也可以用自然语言描述策略。与您可能已经创建的任何现有策略类似，您需要使用条件 (permit) 来指定效果（例如when guardrails）。在这种情况下，您需要提供要启用的特定护栏保护措施、要使用的防护措施类别、您希望护栏保障措施评估的环境以及置信度分数阈值。

护栏定义示例

suppressOutput (principal, action == AgentCore::Action::"<TARGET_NAME>_<METHOD>:<URI>", resource == AgentCore::Gateway::"<GATEWAY_ARN>")
when guardrails {
    BedrockGuardrails::ContentFilter(["HATE"],[context.output.message])["HATE"]
    .confidenceScore
    .greaterThan(decimal("0.2"))
};

指定护栏保护装置

要选择特定的保障实体类型，请使用 BedrockGuardrails 命名空间：

选择保障类别

为给定保障措施选择一个类别（参见支持的护栏）。

例如 BedrockGuardrails::ContentFilter(["HATE"],[context.output.message])

对护栏的影响

要创建用于授权请求的护栏，请使用permit和forbid效果。它们继续管理请求授权。

forbid (principal, action == AgentCore::Action::"<TargetName>___POST:/invocations", resource) when guardrails {
  BedrockGuardrails::PromptAttack(["PROMPT_INJECTION"], [context.input.prompt])["PROMPT_INJECTION"].confidenceScore.greaterThan(decimal("0.6"))
};

要创建用于抑制工具、代理或模型输出的护栏，请使用效果。suppressOutputsuppressOutput是一种新的效果，它对操作返回的数据起作用。授权操作完成后，它会根据护栏评估输出，并在违反护栏时抑制输出。

suppressOutput (principal, action == AgentCore::Action::"<TargetName>___POST:/invocations", resource) when guardrails {
  BedrockGuardrails::SensitiveInformation(["US_SOCIAL_SECURITY_NUMBER"], [context.output.text])["US_SOCIAL_SECURITY_NUMBER"]
    .confidenceScore
    .greaterThan(decimal("0.5"))
};

将背景信息传递给您的护栏

在策略中定义护栏时，必须指定数据路径（例如context.input.message），用于标识要从操作的负载中提取的值。护栏评估提取的值。您可以根据请求或响应架构指定一条或多条数据路径。

例如 [context.input.message, context.input.systemPrompt]

护栏的阈值

通过内容过滤器和即时攻击检测，护栏会返回置信度分数，该分数是 [0，1] 范围内的数值，其中 0 表示低置信度，1 表示高置信度。分数代表护栏检测违规行为的自信程度。当前可能的分数是离散值 {0、0.2、0.4、0.6、0.8 和 1.0}。

要设置阈值，您需要向比较运算符提供十进制值（例如greaterThan(decimal("0.4"))）。

分数比较运算符

您可以将以下比较运算符应用于confidenceScoremaxConfidenceScore()、或中的任何一个minConfidenceScore()：

您可以在保单中使用聚合来提取和比较护栏返回的分数：

聚合

如何选择阈值

如果在提示创作服务时未指定阈值，则 AgentCore 设置默认值。如果您在没有创作服务帮助的情况下制定策略，则必须提供阈值。

以下默认值经过校准，以可接受的精度为大多数工作负载提供广泛的覆盖范围：

选择自定义阈值

如果默认阈值不符合您的要求，您可以使用以下方法之一确定工作负载的最佳阈值。

选项 1：对照黄金测试集进行评估

当你有一组经过精心策划的测试输入和明确的预期结果时，请使用这种方法。

选项 2：根据生产流量进行评估

当你没有预建的测试集并且想要使用真实的流量模式进行校准时，请使用这种方法。

在政策中测试护栏

AgentCore 提供了多种机制，用于在生产流量上强制执行护栏策略之前对其进行测试。您可以控制策略引擎级别、单个策略级别或两者兼而有之，从而可以逐步验证护栏行为。有关更多信息，请参阅测试策略。

护栏如何与政策配合使用

护栏策略可以应用于任何网关目标。护栏运行在：* MCP 目标 — POST /mcp (JSON-RPC tools/call) * HTTP 运行时目标 — * HTTP 推POST /<target>/invocations理目标 — POST /inference

当呼叫到达您的网关时，策略评估器将执行以下操作：

注意：护栏是不确定的。相同的输入可能导致不同的输出。但是，策略是确定性的，相同的输入将始终产生相同的产出。

政策中护栏的局限性