Como posso desassociar um grupo de segurança específico de todas as instâncias do EC2 e associá-lo a uma nova instância do EC2, ao BOTO3?

Estou tentando algo como:

      ec2 = boto3.resource('ec2')
      instances = ec2.instances.filter()
      for instance in instances:
         print(instance.id, instance.instance_type)
         for sg in instance.security_groups:
           if sg['GroupId'] == sg_id:
               instance.modify_attribute ???

Obrigado por qualquer ajuda!