¿Cómo puedo disociar un grupo de seguridad particular de todas las instancias de EC2 y luego asociarlo con una nueva instancia de EC2, con BOTO3?

Estoy intentando algo como:

      ec2 = boto3.resource('ec2')
      instances = ec2.instances.filter()
      for instance in instances:
         print(instance.id, instance.instance_type)
         for sg in instance.security_groups:
           if sg['GroupId'] == sg_id:
               instance.modify_attribute ???

¡Gracias por cualquier ayuda!