Web Answer s’ajoute comme target à un AgentCore Gateway existant. Pour l’appeler, il faut autoriser séparément l’identité qui accède au Gateway et le rôle de service du Gateway, puis attendre que le target passe à READY avant de le découvrir et de l’invoquer avec MCP. AWS décrit cette configuration et les réponses avec citations.

Vérifiez les deux autorisations IAM séparément : l’une contrôle qui peut appeler le Gateway, l’autre ce que le Gateway peut appeler.

Web Answer ou Web Search ?

AWS distingue les deux outils par le résultat remis à l’agent. Web Search renvoie des URL classées, des titres, des extraits et des métadonnées que le modèle du client doit ensuite traiter. Web Answer effectue la recherche, la synthèse et l’attribution, puis renvoie une réponse rédigée avec des citations.

OutilRésultat remis à l’agentQui effectue la synthèse ?Usage adapté
Web SearchURL classées, titres, extraits et métadonnéesLe modèle du clientTraiter soi-même les résultats bruts
Web AnswerRéponse rédigée avec citationsWeb AnswerFournir à l’agent une réponse citée pour une tâche factuelle

Prérequis

La procédure AWS porte sur un AgentCore Gateway existant dans us-east-1, avec l’authentification entrante IAM (AWS_IAM). L’agent doit avoir accès au modèle Amazon Bedrock qu’il utilise. Il faut également Python 3.10 ou une version ultérieure, ainsi que les paquets boto3, strands-agents, mcp et mcp-proxy-for-aws.

AWS situe la disponibilité indiquée pour Web Answer dans us-east-1 (US East, N. Virginia). Dans son annonce du 5 novembre 2026, AWS indiquait que d’autres régions suivraient, sans donner de date.

Configurer le Gateway et son target

Dans sa démonstration en anglais, AWS ajoute le target Web Answer, saisit une question dans le playground AgentCore et affiche une réponse citée.
  1. Autorisez l’identité appelante à invoquer le Gateway. Accordez-lui bedrock-agentcore:InvokeGateway sur le Gateway concerné. Cette autorisation entrante détermine qui peut appeler le Gateway.
  2. Autorisez le rôle de service du Gateway à invoquer Web Answer. Ajoutez une règle IAM accordant bedrock-agentcore:InvokeWebAnswer sur arn:aws:bedrock-agentcore:us-east-1:aws:tool/web-answer.v1. Cette autorisation sortante permet au Gateway d’appeler l’outil. AWS précise que le rôle de service n’a pas besoin de bedrock:InvokeModel pour le modèle choisi par l’agent.
  3. Créez le target Web Answer. Dans l’exemple AWS, le client bedrock-agentcore-control est configuré pour us-east-1, connectorId prend la valeur web-answer et l’authentification sortante utilise GATEWAY_IAM_ROLE. Le Gateway appelle alors le connecteur avec son rôle de service.
  4. Définissez les limites de domaines du target si nécessaire. L’administrateur du Gateway peut fixer des domaines autorisés ou exclus. Un filtre ajouté à un appel peut réduire ces limites, mais pas les élargir.
  5. Attendez l’état READY. Vérifiez avec get_gateway_target que le target est prêt avant de l’invoquer.

Découvrir l’outil avec MCP et lire les citations

MCP, le Model Context Protocol, permet au client compatible de découvrir et d’appeler l’outil exposé par le Gateway. Utilisez tools/list pour le découvrir, puis tools/call pour l’invoquer. L’exemple AWS emploie Strands Agents et nomme l’outil web-answer-tool___WebAnswer.

La réponse comprend du Markdown avec des citations intégrées. Elle fournit aussi une réponse structurée et une liste de citations dans structuredContent.answer. Vous pouvez donc lire le texte destiné à l’agent et récupérer séparément les références associées.

Prix, limite de requêtes et suppression

AWS annonce un tarif de 10 $ pour 1 000 appels à l’outil Web Answer. L’utilisation d’AgentCore Gateway est facturée en plus. AWS indique également une limite de 10 transactions par seconde et par compte dans us-east-1 ; une hausse de limite peut être demandée à AWS Support.

Pour arrêter d’utiliser la configuration, supprimez le target Web Answer. Si le Gateway a été créé uniquement pour cette intégration, AWS recommande de supprimer d’abord ses targets, puis le Gateway, son rôle de service et sa règle IAM.