見出し画像

【AI・テクノロジーラボ】AWSのAIエージェント戦略を構造から読む 。Bedrock・AgentCore・Kiro の三層と、背骨としてのMCP

HAKONI


目的

「本番で動くAIエージェントを、AWS上で一つ作る」と考えてみる。

例えば、社内の問い合わせに答えながら在庫データベースを参照し、承認の要否を判断してSlackへ通知する。必要に応じて社内ナレッジを検索し、その根拠まで提示する。そんなエージェントだ。

ここまでは、多くの生成AIツールを使えば比較的短時間でプロトタイプを作れる。

しかし、本番運用を意識した瞬間に問いは変わる。

どこで実行するのか。どうやって社内システムと接続するのか。誰の権限で動かすのか。何を記録し、どう監査するのか。そして、その実装をどの開発環境で進めるのか。

AIエージェントの難しさは、モデルに質問することではない。企業システムの中で、安全かつ継続的に動かすことにある。

そこで登場するのが Bedrock・AgentCore・Kiro、そして MCP だ。

本稿では、この4つを「モデル層」「運用層」「開発層」の三層と、それらを縦に貫く標準プロトコルである MCP という構造で整理したい。

背景と理論：三層を分けて見る

混乱の多くは「全部まとめてAIエージェント基盤」と一括りにすることから来る。冒頭の「本番エージェント」を題材に、三層へ分ける。

モデル層｜Amazon Bedrock - 頭脳を、企業の境界内で動かす

エージェントが「考える」中身、すなわち Claude（Opus 4.x など）の推論を担う層だ。冒頭のエージェントが意図を解釈し、次の一手を判断する部分にあたる。

ここで誤解されやすいのは、Bedrock経由だからClaudeが賢くなる／安くなるわけではない点だ。モデルの重みは同一、オンデマンドのトークン単価も直接APIと変わらない。「同じモデル、違うのはその周り」である。本番で効くのは、モデルの外側の性質だ。

  • データが企業のAWS境界内に留まる — プロンプトと応答はAnthropicにもAWSオペレーターにも見えず（ゼロオペレーターアクセス）、商用条件では学習に使われない。

  • ネットワークが閉じる — VPC／PrivateLink経由なら推論は公衆インターネットに出ない。「外部API禁止」の方針でも通せる。

  • AWSの統制にそのまま乗る — IAM認証・CloudTrail監査ログ、Guardrails（PII/PHIフィルタ）、Knowledge Bases（RAG）、容量予約のProvisioned Throughput、AWS一本の請求。

  • データ所在地を選べる（東京など） — 公共・準公共案件でデータレジデンシー要件が要るとき、決め手になる。

代償は機能ラグだ。新しいClaude機能は直接APIに先に出て、Bedrockには遅れて届く。

そして2026年5月、Claude Platform on AWS が加わった。Anthropicのネイティブ基盤（フルClaude API・Managed Agents・Skills・MCPコネクタ等）を、AWSアカウント経由・Marketplace課金・IAM認証で使えるが、運用はAnthropic（AWS境界の外）で、新機能は当日反映される。結果、AWSでClaudeを動かす道は三つになった。
Bedrock（AWSが運用・データはAWS境界内・機能はやや遅れる）／Claude Platform on AWS（Anthropicが運用・AWS課金とID・当日機能）／直接API。
この三択が並んだこと自体が、後述する「層の奪い合い」の伏線だ。

運用層｜Amazon Bedrock AgentCore ── 本番で確実に動かす基盤

冒頭のエージェントを「本番で確実に動かす」基盤がここだ。AgentCoreはエージェントをプロトタイプから本番へ持っていくための運用基盤で、2025年10月に一般提供（GA）。構成は7つのプリミティブに分かれる。

  • Runtime — 実行環境。最大8時間の実行ウィンドウと、リクエストごとの完全なセッション隔離を持ち、Agent-to-Agent（A2A）にも対応。

  • Gateway — 既存のAPI・Lambda・MCPサーバーを、エージェントから使える統一MCPエンドポイントに変える。インバウンド／アウトバウンドの二重認証（IAM／OAuth）。個別の統合コードが不要になる。

  • Memory — 短期（セッション内）と長期（抽出された知見）の記憶を、インフラ管理ゼロで提供。

  • Identity — エージェントが代理／自律でサービスへアクセスするための認可とトークン管理。

  • Browser Tool / Code Interpreter — Web操作とコード実行を、サンドボックス化した環境で提供。

  • Observability — エンドツーエンドの可視化。OpenTelemetry互換で、CloudWatchやDatadog等とも繋がる。

これらはGA時点の骨格で、その後も拡張が続く。
2026年に入り、ツールアクセスをコード外で制御する Policy（3月GA。自然言語の規則がCedarに変換され、Gatewayで各リクエストを評価）、品質を測る Evaluations（3月GA）、そしてモデル・プロンプト・ツールを指定するだけでエージェントループ全体をマネージドに動かす managed harness（4月プレビュー。各セッションが独自のmicroVMを持つ）が加わった。提供は現在15リージョン。


ポイントは、AgentCoreが特定のフレームワークやモデルに縛られていないこと。LangGraph・CrewAI等の主要フレームワーク、Bedrock内外の任意のモデルで動く。

開発層｜Kiro ── 設計してから実装する

冒頭のエージェントの要件・設計を固め、コードを書くのがこの層だ。KiroはAWS製のagentic IDEで、こちらもGA済み。VS Codeのベース Code OSS をフォークして作られ、Bedrock経由でClaudeを使う。最大の差別化点はspec-driven development——いきなりプロンプトからコードへ飛ばず、要件・設計・タスクリストを生成し、人間がレビュー・承認してから実装する。Cursor・Claude Code・Copilotが「出力の速さ」を最適化するのに対し、Kiroは追跡可能性と構造を最適化する。仕様駆動・steeringファイル・agent hooks・MCP対応、端末向けのKiro CLIを備える。

理論の核：MCPという背骨

三層を分けた上で、それらを縦に貫くものを見る。それが MCP（Model Context Protocol） だ。冒頭のエージェントが在庫DBやSlack、社内ナレッジに繋ぐとき、その接続を標準化するのがこれにあたる。

MCPは、AIと外部システムを繋ぐ標準プロトコル。価値は大きく3点。
再利用性（一度書いたMCPサーバーはClaude DesktopでもCursorでもBedrock Agentでも使い回せる）、
責務分離（「LLM呼び出し」と「外部接続」がきれいに切れる）、
標準化（ベンダー固有のTool Use実装を覚え直さなくて済む）。イメージは「USB-C for AI」だ。

重要なのは、このMCPが先の三層をそのまま貫いていることだ。

  • Kiroは remote MCP を話す — 外部のMCPサーバーをツールとして接続できる。

  • AgentCore Gatewayは、ツールをMCPで公開する層そのもの — 既存のAPIやLambda、他のMCPサーバーを、統一MCPエンドポイントとして差し出す。

  • そして決定的に、awslabsが公式の Bedrock AgentCore MCPサーバー（122ツール）を公開している — Kiro・Claude Code・CursorといったAIエージェントから、AgentCoreのランタイム・メモリ・Identity・GatewayをMCP経由で直接操作できる。Kiroは対応クライアントとして明示されている。

MCP自体の立ち位置も2025年末に変わった。2025年12月、AnthropicはMCPを Linux Foundation 傘下の Agentic AI Foundation（AAIF） に寄贈。AAIFはAnthropic・Block・OpenAIが共同設立し、Google・Microsoft・AWS・Cloudflare・Bloomberg が支援する。メンテナーは多ベンダー構成で、AWSもメンテナーとして名を連ねる。採用面でも、2024年11月のMCP公開以降、2025年4月にOpenAI、7月にMicrosoft（Copilot Studio）、11月にAWSが対応を加え、2026年3月に主要プロバイダーが出揃った。MCPはもはや単独ベンダーの標準ではなく、AWSはその「利用者」であると同時に「共同統治者」の側にいる。


つまり構図はこうだ。
開発（Kiro）も、運用（AgentCore）も、それらの相互操作も、すべてMCPという同じ規格の上に乗っている。 その上でモデル層（Bedrock/Claude）がMCPツールを使って推論する。AWSは、Gatewayを「MCP前提」で設計し、AgentCore操作用の公式MCPサーバーを出すことで、MCPを自社エコシステムの中心に据えに来ている。

結果：三層が実際にどう噛み合うか


冒頭のエージェントを、この三層に流し込んでみる。

  1. 設計・実装（Kiro）：spec-drivenで、要件と設計を固めてから実装。手戻りを設計段階で潰す。

  2. デプロイ・実行（AgentCore Runtime）：最大8時間・セッション隔離のランタイムにデプロイ。

  3. ツール接続（AgentCore Gateway）：在庫DB・Slack・社内ナレッジを、Gatewayで統一MCPエンドポイントとして公開。

  4. 認証・記憶・監視（Identity / Memory / Observability）：誰の権限で動くか、何を覚えているか、何が起きたかを、マネージドに任せる。

  5. 推論（Bedrock）：実行時にBedrock上のClaudeを呼んで判断。

  6. 運用管理（MCP経由）：KiroやClaude CodeからAgentCore MCPサーバー経由で、ランタイムやメモリを直接管理。

この構造は、AWSの基礎——コンピュートの使い分け、IAM、可観測性の延長線にそのまま乗っている。 Runtimeはコンピュートの選択、Identityは権限設計、Observabilityは監視。認定で問われる設計が、そのままエージェント基盤の設計に効く。生成AIに飛び込むのに、積んできたAWSの土台が無駄にならない。

考察 ── 結果から何が言えるか

この構造を見て、最も重要だと考えられるのは、AIエージェントの競争軸が変わりつつあることだ。

これまでは「どのモデルを使うか」が大きな差別化要因だった。しかし現在は、高性能なモデルが広く利用可能になり、モデルそのものは徐々に交換可能な部品になりつつある。実際、同じClaudeであれば、Bedrock経由でも直接API経由でも利用できるようになっている。

その結果、価値はモデルの外側へ移動していると考えられる。

重要になるのは、どのモデルを選ぶかではなく、どう安全に動かすか、どう権限を管理するか、どう監査するか、どう継続的に運用するかといった運用設計である。

AWSの狙いも、まさにこの領域にあると考えられる。

Bedrockによってモデルを提供するだけでなく、AgentCoreによって実行環境、認証、監視、評価まで含めた運用基盤を提供している。モデルそのものを囲い込むのではなく、「運用層」を握ろうとしているように見える。

一方で、MCPの普及によってツール接続の標準化は進んでいる。モデルや開発ツールの選択自由度は以前より高まりつつあり、特定ベンダーの独自仕様に縛られにくくなっている。

つまり現在は、開放とロックインが同時に進んでいる状態だと考えられる。

モデルやツールは交換しやすくなる一方で、運用基盤への依存は強くなる。囲い込みが消えたのではなく、その対象がモデルから運用層へ移ったとも解釈できる。

AWSの三層戦略（Bedrock・AgentCore・Kiro）は、その変化を象徴する構造だと考えられる。今後の競争は、どのモデルを使うかではなく、どの基盤の上でAIエージェントを安全かつ継続的に運用できるかへ移っていくのではないだろうか。

なぜ今、この構図なのか

この三層化は、AIの価値がモデルそのものから、その上位の層へ移りつつあることの表れだと考えられる。

モデルの推論能力は、同じClaudeであればBedrock経由でも直接API経由でも利用できるように、徐々にコモディティ化が進んでいる。そのため、Anthropic自身もトークン提供だけに留まらず、Claude CodeやCoworkといった製品、MCPという標準、Claude Platform on AWSという基盤へと価値の重心を移しているように見える。

一方でAWSは、AgentCoreによって実行・認証・監視といった運用層を提供することで、モデルを交換可能な部品として扱える立場を築こうとしているように見える。

この構図を単純化すれば、モデル提供者はクラウドを配管化したいと考え、クラウド事業者はモデルを部品化したいと考えている、と解釈できる。両者は巨大な計算資源と流通網を通じて協力関係にある一方で、最終的な付加価値が生まれる中間層を巡って競争しているとも考えられる。

MCPがAAIFのもとで中立的な標準として運営されているのも、その中間層が特定ベンダーに独占されることを避ける意味合いがあるのではないだろうか。

そう考えると、AWSの「Bedrock・AgentCore・Kiro」という三層構造と、それらを貫くMCPという構成は、この変化の中でAWSが選択した合理的な戦略として理解できるように思われる。

注意と限界

verifierとして、いくつか線を引いておく。

まず、本稿で用いた「三層」という整理は筆者の分析フレームであり、AWSがBedrock・AgentCore・Kiroを一つの製品群として提供しているわけではない。
3者は独立したプロダクトであり、課金体系もそれぞれ異なる（Bedrock＝推論トークン、AgentCore＝実行・ゲートウェイ等のインフラ、Kiro＝クレジット制サブスクリプション）。
本稿では、それらが構造的にどのように噛み合うかという観点から整理した。

また、本稿には事前分析が含まれる。筆者はKiro（IDE／CLI）を日常的に利用しているが、AgentCoreについては公開情報をもとに分析したものであり、本番環境での実機検証は今後行う予定である。

さらに、課金の層とMCPを混同しないよう注意したい。MCPはコスト削減の仕組みではなく、AIとツールを接続するための標準化プロトコルである。「MCPを使うとAPI料金が下がる」という単純な話ではない。トークン効率の改善が見られる場合もあるが、それはツール定義を必要時のみ読み込む progressive disclosure のような実装による間接的な効果として理解すべきだろう。

最後に、本稿で扱った数値・スペック・対応リージョンは2026年6月時点の公開情報に基づく。AgentCore・Kiroともに進化の速度が速く、仕様変更も珍しくない。実装や導入を検討する際は、必ず公式ドキュメントの最新情報を確認されたい。

結論

AWSのAIエージェント戦略は、「三層（Bedrock / AgentCore / Kiro）× MCP」という構造で理解できる。

本稿で扱ったエージェントは、Kiroで設計・実装され、AgentCoreで実行・運用され、Bedrock上のClaudeが推論を担う。そして、それらをMCPが横断的に接続している。個別のサービスとして見ると複雑に見えるが、構造として捉えると役割は明確だ。

重要なのは、この構造が単なる製品群の紹介ではなく、AIエージェント時代の競争軸の変化を示している点にある。

これから価値の中心になるのは、どのモデルを選ぶかではない。モデルを安全に動かし、権限を管理し、監視し、継続的に運用する仕組みである。

その意味で、AWSはモデル競争そのものではなく、エージェントを本番運用するための基盤競争に軸足を置いているように見える。そしてMCPは、その基盤とツール群を繋ぐ共通規格として機能している。

AWS基盤の経験を持つ人にとって、生成AIはこれまでの知識と断絶した新しい世界ではない。コンピュート、IAM、ネットワーク、監視といった既存の設計力は、そのままエージェント基盤の設計力へと繋がっていく。

本稿の結論はシンプルだ。

AIエージェントの時代に重要になるのは、モデルを使うことではなく、モデルを本番で運用すること。そしてAWSは、Bedrock・AgentCore・Kiro・MCPを通じて、その運用基盤を取りに来ている。

もっと知りたい方へ（SNS動線）

  • Zenn｜ebe_ryuki（クラウド×生成AIの技術記事）：https://zenn.dev/ebe_ryuki

  • Qiita｜ryukiebe0911（用語整理・実装メモ）：https://qiita.com/ryukiebe0911

  • LinkedIn｜ryuki-ebe（AWS×AI×キャリアの考察）：https://www.linkedin.com/in/ryuki-ebe-4783373b3

  • X｜@EBE_Ryuki：https://x.com/EBE_Ryuki

  • note｜ebe0911：https://note.com/ebe0911

  • Instagram｜@ryuk.i0911（生成AIの実践的な使い方をやさしく）：https://www.instagram.com/ryuk.i0911

参考文献・情報源

  • AWS「Amazon Bedrock AgentCore is now generally available」(Oct 2025) — GA、7プリミティブ、A2A、IAM認可、フレームワーク／モデル非依存

  • Amazon Bedrock AgentCore 公式ドキュメント／FAQ — Gateway / Identity / Runtime / Observability の仕様、提供リージョン（15, 2026）

  • AWS Blog「Extending MCP support for Amazon Bedrock AgentCore Gateway」(2026) — default／dynamic listing、PrivateLink、interceptor、OAuth 2.0

  • AWS「Policy in Amazon Bedrock AgentCore is now generally available」(Mar 2026) — Cedarベースのツールアクセス制御

  • AWS「Amazon Bedrock AgentCore adds new features（managed harness / CLI / skills）」(Apr 2026) — managed harness（プレビュー）、microVM、Strandsへのエクスポート

  • AWS「Amazon Bedrock AgentCore Evaluations is now generally available」(Mar 2026)

  • awslabs「Amazon Bedrock AgentCore MCP Server」(GitHub) — 122ツール、対応クライアント（Claude Code / Kiro / Cursor / VS Code / Codex CLI）

  • Kiro「Kiro is generally available」(kiro.dev/blog)／Kiro CLI Changelog・Docs — spec-driven、checkpoint、Kiro CLI、remote MCP、/effort・/rewind・/settings

  • AWS / Anthropic「Claude Platform on AWS」(May 2026) — AWS経由でAnthropicネイティブ基盤、当日機能パリティ

  • Anthropic「Introducing the Model Context Protocol」(Nov 2024)／「Donating MCP and establishing the AAIF」(Dec 2025) — MCPの初出、AAIFへの寄贈・中立ガバナンス

  • Model Context Protocol Blog「Expanding the MCP Maintainer Team」(Apr 2026) — メンテナー体制（多ベンダー、Core MaintainerにClare Liguori）

  • Anthropic Engineering「Code execution with MCP」(Nov 2025) — progressive disclosure、トークン経済

※ 本稿は2026年6月時点の公開情報に基づく。Bedrock AgentCore・Kiro はいずれも更新が活発なため、実装・導入時は公式の最新情報を確認することを推奨します。数値・スペックは特定条件下の一例であり、普遍的な値ではない点に留意してください。

いいなと思ったら応援しよう！