Bedrock AgentCore (AI 에이전트를 운영 환경에서 돌리는 기반)

왜 AgentCore 인가

에이전트는 노트북에서 데모로 돌리기는 쉽지만, 운영으로 가져가면 문제가 쏟아집니다. 사용자마다 세션을 격리해야 하고, 대화 기억을 저장해야 하고, 사내 API 와 SaaS 를 안전하게 호출할 자격 증명이 필요하고, 에이전트가 무엇을 했는지 추적하고, 해서는 안 되는 행동을 막아야 합니다. Amazon Bedrock AgentCore 는 이 운영 문제를 관리형 구성 요소로 나눠 제공합니다.

AgentCore 는 프레임워크와 모델을 가리지 않습니다. Strands Agents, LangGraph, CrewAI, LlamaIndex 같은 프레임워크로 만든 에이전트를 그대로 올리고, Bedrock 밖의 모델을 불러도 됩니다. 각 구성 요소는 따로 골라 쓸 수 있습니다.

구성 요소

2025-10 GA 이후의 변화

서울 리전에서 쓸 수 있는 것 (2026-10 기준)

지원 리전 문서 기준으로 서울에서는 harness, Runtime(microVM), Memory, Gateway, Identity, 기본 도구, Observability, Policy, Evaluations 를 쓸 수 있습니다. Runtime Instances, Payments, AWS Agent Registry, Web Search 도구는 서울에서 제공되지 않으므로 이 기능이 필요하면 도쿄나 다른 리전을 함께 검토합니다. 지원 범위는 자주 바뀌니 설계 전에 문서를 다시 확인합니다.

Runtime 에 배포하기

Python SDK 의 BedrockAgentCoreApp 으로 진입점을 감싸면 Runtime 이 기대하는 HTTP 계약(/invocations, /ping)을 맞춰 줍니다.

# agent.py
from bedrock_agentcore.runtime import BedrockAgentCoreApp
from strands import Agent

app = BedrockAgentCoreApp()
agent = Agent(system_prompt="AWS 비용 질문에 답하는 사내 도우미입니다.")

@app.entrypoint
def invoke(payload):
    result = agent(payload.get("prompt", ""))
    return {"result": str(result)}

if __name__ == "__main__":
    app.run()

배포는 AgentCore CLI 나 CDK 구성(2026-05 에 안정 버전)으로 컨테이너 이미지를 만들고 Runtime 에 등록합니다. 호출은 런타임 ARN 과 세션 ID 로 합니다. 같은 세션 ID 로 부르면 같은 microVM 세션이 이어지고, 세션끼리는 메모리와 파일 시스템이 섞이지 않습니다.

import boto3, json, uuid
ac = boto3.client("bedrock-agentcore", region_name="ap-northeast-2")
resp = ac.invoke_agent_runtime(
    agentRuntimeArn="arn:aws:bedrock-agentcore:ap-northeast-2:111122223333:runtime/cost-helper-abc",
    runtimeSessionId=str(uuid.uuid4()) + "-user-1001",   # 33 자 이상
    payload=json.dumps({"prompt": "지난달 NAT 비용이 왜 늘었나요?"}),
)

요금은 세션이 실제로 쓴 CPU, 메모리 시간 기준이라, 모델 응답이나 도구 응답을 기다리는 동안의 CPU 는 과금되지 않는 구조입니다. 정확한 단가는 AgentCore 요금 페이지를 봅니다.

Gateway 와 Identity 로 도구 붙이기

에이전트가 사내 주문 API 와 Slack 을 부른다고 해 봅시다. 흔한 실수는 에이전트 코드 안에 API 키를 넣는 것입니다.

1. Gateway 에 주문 API 의 OpenAPI 명세와 Lambda 함수를 대상으로 등록하면 MCP 도구 목록이 생깁니다. 에이전트는 Gateway 엔드포인트 하나만 알면 됩니다.
2. Gateway 의 인바운드 인증은 Cognito 나 사내 IdP 의 JWT 로 겁니다.
3. 외부 서비스용 토큰은 Identity 의 자격 증명 공급자에 맡깁니다. 사용자를 대신해 호출해야 하면 OAuth 위임 흐름으로 사용자 동의를 받고 토큰을 저장합니다.
4. Gateway 의 도구 검색 기능으로 도구가 수백 개여도 관련 도구만 모델에 넘깁니다.

Policy 로 행동 제한하기

프롬프트에 "환불은 10 만 원까지만" 이라고 쓰는 것은 통제가 아닙니다. 모델은 지시를 어길 수 있습니다. AgentCore Policy 는 Gateway 를 지나는 모든 도구 호출을 코드 밖에서 검사합니다. 정책은 Cedar 언어로 쓰고, 자연어로 초안을 만들 수도 있습니다. 2026-07 부터는 Policy 에서 Bedrock Guardrails 를 함께 걸 수 있습니다. 아래는 형태를 보여 주는 단순화한 예시이고, 실제 액션 이름과 컨텍스트 경로는 Gateway 에 등록한 도구 이름에 따라 달라집니다.

permit(principal, action == AgentCore::Action::"refund-api___issueRefund", resource)
when { context.input.amount <= 100000 };

주의 정책은 Gateway 를 거치는 호출에만 적용됩니다. 에이전트 코드가 Gateway 를 우회해 API 를 직접 부르면 막을 수 없습니다. 에이전트 실행 역할의 IAM 권한을 Gateway 호출로 좁혀 우회 경로를 없앱니다.

품질 관리: Observability 와 Evaluations

• Observability 를 켜면 한 요청 안의 모델 호출, 도구 호출, 지연이 추적으로 남습니다. CloudWatch 의 Transaction Search 를 먼저 켜야 합니다.
• Evaluations 는 내장 평가기(정확도, 유용성, 도구 선택 정확도 등)와 사용자 정의 평가기로 운영 트래픽을 표본 채점합니다. 2026-07 의 Batch Evaluations 로 테스트 세트를 한꺼번에 돌리고, A/B 테스트로 프롬프트나 모델 변경을 비교합니다.
• 품질 지표가 떨어지면 CloudWatch 경보를 걸어 사람이 먼저 알게 합니다.

설계 체크리스트

• 세션 ID 에 사용자 식별자를 섞어 사용자끼리 세션이 섞이지 않게 합니다.
• Memory 의 장기 기억에는 개인정보가 쌓입니다. 보존 기간(TTL)과 삭제 절차를 정합니다.
• Code Interpreter 와 Browser 는 네트워크 모드(공개 또는 VPC)를 의도에 맞게 고릅니다.
• 에이전트 실행 역할, Gateway 대상 역할을 최소 권한으로 나눕니다. IAM 의 권한 경계와 SCP 로 상한을 둡니다.
• 예전 Bedrock Agents Classic 은 2026-07-30 부터 Maint 입니다. 새 에이전트는 AgentCore 위에 만듭니다.