AgentKernel：面向 Agent 的可信原生操作系统内核

现有智能体栈缺少强制、不可绕过的语义层操作系统中介，长时程任务因此同时受安全缺口和能力上限约束。

• 场景：作者称 LLM 智能体正成为组织读写、编辑和操作软件的控制面，会摄入不可信网页与仓库内容，与特权指令融合，把中间信念写入长期或持久记忆，并调用特权工具。
• 不足：作者把补救分成编排框架、智能体运行时、治理平台和执行沙箱四层，并称弱点是碎片化、信任边界模糊、执行并非强制。文中引 AGT 自称提供应用层治理而非 OS 内核级隔离，与智能体共享进程信任边界。
• 观察：作者认为缺的不是再加一条策略或插件，而是始终开启、可组合、并落到 syscall 的语义层服务。Table 1 把身份、感知、认知、执行各写成安全后果与能力后果成对出现。
• 提案：作者提出 AgentKernel，称其为首个以安全为第一约束的 trust-native 智能体操作系统，四支柱为 Identity、Perception、Cognition、Execution。作者的中心主张是结构性安全是能力乘数。
• 威胁模型：保证写在 §5.1。对手可以很强，但作者假定其过不了密码学与强制边界。
  • 对手能力：可构造任意输入，供应语义检查通过后在运行时越权的工具，经正常渠道向记忆投毒，冒充或重放，发布声明偏窄的恶意技能，并利用过宽策略。
  • 假定外：不能无私钥伪造 Ed25519，不能取出内核中的 Kpriv，不能绕过三个适配器，不能在无宿主内核权限时改 eBPF；GAR 签名密钥假定未失陷。
  • 明确排除：物理攻击、侧信道、宿主 OS 内核失陷；不违反已写不变量的推理失误，作者视为可靠性问题。
  • 受害系统：跨输入世界、受保护核心与可审计输出世界的智能体会话（Figure 2）。§1 用多智能体 DevOps 流水线说明委托、注入、记忆投毒和工具副作用可以串成一条链。

作者在 §6 把相关系统分成四层 harness，并称没有一层把身份、感知、认知、执行做成共享溯源的强制内核服务。

编排框架

• 工作流层：LangChain/LangGraph、AutoGen、Microsoft Agent Framework、Semantic Kernel、CrewAI、MetaGPT、AutoGPT 和 smolagents 管理工作流、工具路由、重试和智能体间消息。作者称其贡献主要是把智能体做得更能干，安全从缺失到可选插件不等。
• 点名的缺口：作者指出 smolagents 文档写明内置 LocalPythonExecutor 不是安全沙箱，并建议对不可信代码使用外部隔离。

智能体运行时

• AIOS：Mei 等（2024）以 HTTP 服务加同进程线程池运行智能体，并提供 FIFO/轮转调度和类 syscall API。作者称分离只是 API 约定：同进程智能体可绕过 syscall 层，远程端点无认证中间件，PermissionManager 是无密码学身份或污点标签的存根。
• OpenFang、SmythOS、Letta：OpenFang 对托管智能体做配额、能力过滤、WASM 计量、Ed25519 清单签名、Merkle 审计链和 TaintSource/TaintLevel。作者称外部 A2A 对等方的模型调用、记忆和工具仍在周界外，污点也不进入长期记忆检索。SmythOS SRE 是进程内库，作者称无密码学工作负载身份或内核级边界。Letta 管理分层记忆，工具沙箱默认进程内无隔离，记忆项无信息流标签。
• 同列其他工作：KAOS、AutoAgent 以及两篇 OS 综述只被列为运行时或路线图，未做 Table 3 式逐行评分。

治理平台与执行沙箱

• AGT 与追踪：AGT 以应用层包提供进程内策略引擎、AgentMesh 的 SPIFFE/SVID、执行环和 SRE。作者称治理与智能体共享地址空间，同解释器代码可以改策略或跳过钩子；SPIFFE 绑定运行时工作负载，不同时追溯开发者、代码制品和操作者。AgentOps 与 LangSmith 用装饰器和客户端包装做追踪；作者称路径仍可选。
• 沙箱：nono 用 Landlock/Seatbelt、Sigstore 和网络允许列表；E2B 提供云侧隔离；Anthropic 的 sandbox-runtime 在无容器时限制文件系统和网络。作者称它们本身不含分级感知和全流水线记忆污点，隔离主要是沙箱内外二分。
• 比较对象：论文未设实验基线，也未在某一基准上跑分。Table 3 的对照是 AGT、AIOS、OpenFang、SmythOS、Letta、nono；编排框架未入表，作者称因其不声称提供这些 OS 级服务。

记忆、协议与界面智能体

• 记忆系统：MemOS 与 MemoryOS 优化容量和检索。作者称其已发表设计不以信息流标签或跨子系统污点传播为中心。
• 协议：MCP、A2A、ANP、Agent-OSI 和作者此前的 BlockA2A 规定智能体能说什么，或提供密码学身份。作者称 AgentKernel 约束的是能做什么，二者互补；四维绑定在本文中作为内核强制的输入。
• GUI 与工程平台：作者把 GUI/计算机使用智能体及 OSWorld、OS-Harm、PASB 等归为应用层交互与安全基准。OpenHands、SWE-agent、Magentic-One、AgentStore 被作者称为安全可选的工程平台。

作者把 AgentKernel 定位为这些层之下的强制 OS 内核，互补而非替换。作者称它是首个以安全为组织原则、贯穿全生命周期的集成智能体 OS；Table 3 的目的不是宣称功能齐平，而是标出强制生命周期中介缺在哪里。

AgentKernel 把智能体核心包进语义参考监视器：入站内容、出站动作和智能体间通信都要穿过安全内核。四个支柱不是可互换插件，而是同一套强制中介在语义层上的分工。

设计原则

• 外置强制层：原则 1 把内核放在可被注入操纵的 LLM 上下文之外，只经适配器接触模型、工具和存储。
• 默认拒绝取交集：多方权限的有效集是交集而非并集，即 S_eff=S_dev∩ S_ops∩ S_ctx，表示开发者上限、操作者子集和上下文约束取最严。该规则用于 AIC 能力链、技能权限和工作阶段令牌。
• 纵深与双层：原则 3 要求四支柱各自降低剩余风险。Figure 3 把冒充、注入、投毒、提权分别对到身份、感知、认知、执行。原则 4 在语义层看意图、记忆和计划，并用 eBPF 与进程沙箱做底。
• 窄边界：原则 5 只暴露 LLM、工具、存储三个适配器。身份是内核控制面，不是第四个应用侧适配器。作者写明，若仍有环境凭证、直连工具或绕过存储适配器的路径，中介就不完整。部署可以是库、网关、边车或工具门面，但强制层必须是这些资源的唯一权威。

信任锚与身份

• 两个锚：远程 GAR 做开发者注册、Ed25519 签发 AIC、策略与撤销；本地 Agent Kernel 保管从不导出的私钥，中介相互证明，管理 OIDC 秘密，并挂载各支柱模块。应用只拿不透明签名句柄。
• 四维绑定：供应时内核生成 Ed25519 密钥对。AIC 绑定开发者、代码制品、操作者和部署上下文，交 GAR 签名后本地缓存。可选 TEE 包括 Intel SGX、ARM TrustZone 或 Nitro 类飞地；启用时签名仍经不可导出原语。
• Smax：AIC 的能力边界是各执法决策的结构输入。E1 把工具调用对照 Smax 与工具清单的交集；E3 在进程树生成前把该交集装成 eBPF 允许列表。多技能与 Smax 取交集，作者称组合只能收窄。
• 会话与委托：内核生成 nonce、对照 GAR 核验 AIC 并签发会话令牌，其范围是双方 Smax 的交集，任一端终止即失效。派生子智能体是内核操作：子能力必须是父 Smax 的严格子集，深度上限可配置（论文未给数值），子 AIC 不超过父的剩余寿命。撤销父 AIC 会原子失效整棵子树。

感知与认知

• P1–P4：P1 按来源标 SYSTEM、USER、TOOL、EXTERNAL、UNTRUSTED，并写下由来源、时间、信任级和检测警告组成的 ProvenanceTag。P2 是亚毫秒、确定性的规则层，拦截已知注入模板、角色冒充、编码绕过和 token 填充。P3 用轻量 LLM 做二值语义防火墙，低信任来源更严。P4 检查多轮中的角色重定义、安全性逐步下降和已知越狱模板。有效 AIC 的来源在 P1 获得更高初始信任。
• 条目级污点：认知分 Agent Host、Memory Gateway、Memory Control Plane、Storage。标签在完整性与机密性的乘积格上按条目传播，而不是整段会话继承最坏标签。步骤是切分带来源的片段、抽取候选、确定支撑片段、在效用损失不超过 λ 时找仍能支持该条目的最小标签，并输出一组不可比的最小标签。论文未给出 λ。
• 共享：默认私有，共享要显式授权；高敏感标签不自动跨智能体共享。取回的历史上下文被标成不可执行数据。作者称条目级污点是否成立取决于切分是否准确。

执行治理

• E1–E4：E1 做亚毫秒、无 LLM 的拒绝列表、能力对齐、路径/命令/域约束和拒绝优先消解。E2 仅在 E1 升级时用轻量 LLM 看动作是否对齐用户目标，并可要求人工确认。E3 由特权守护进程在执行前计算文件、网络和 DNS 允许列表，装入 eBPF 或系统钩子，监视整个进程树，违规即暂停再处置。E4 记录不可变轨迹，对照已声明计划，标出缺失、多余、重排，以及模型声称做过但轨迹中没有的动作。
• 清单与并发：技能清单声明文件系统、网络、执行、消息等表面；工作流取交集。并发上下文使用短生命执行令牌或子 AIC，E3 将其映射到独立 BPF 命名空间和进程树。作者称同一技能的并发任务也不能互相碰记忆、文件描述符或套接字。主路径是确定性允许列表，E2 可选。

不变量如何组成

• Table 2：身份侧是 AIC 不可伪造、子 Smax 含于父 Smax、轨迹由内核用 Kpriv 签名、会话用一次性 nonce。感知侧是进入上下文的内容都有来源标签，且 P1–P4 作用在作者所称的正交特征上。认知侧是派生标签支配来源片段，跨智能体共享必须显式。执行侧是有效权限为交集、允许列表在生成进程前安装且子进程继承、计划与轨迹偏差被检出而不是预先阻断。
• 两条性质：委托链满足 S_max^A_n⊆⋯⊆ S_max^A₀，表示后继不能超出前序已签名信封，策略只能在信封内拒绝。Property 5.2 称工具及其后代的 syscall 限制在由 Smax、清单和污点算出的 Allow(t) 内，与工具实现无关。作者称据其所知这在智能体安全架构中是独特的。
• 组合边界：作者用 §1 的 DevOps 链说明，要完成有害推送须同时越过身份、感知、污点和执行。Figure 3 写一个支柱失陷不级联；§5.3 明确不声称结果完全独立，因为共享溯源元数据。作者称各支柱会用自身不变量复核上游声明，而不是盲信。

实验设置

• 无跑分实验：论文未报告被测模型、基准得分、样本量、重复次数或评审模型。§7.4 称真实负载下的性能与安全刻画尚未完成。
• 定性比较：§6 的 Table 3 把 AgentKernel 与 AGT、AIOS、OpenFang、SmythOS、Letta、nono 对照。编排框架未入表，作者称因其不声称提供这些 OS 级服务。
• 符号：• 表示作为核心设计要素的全面、架构集成支持；◦ 表示部分或可选；— 表示缺失或非设计重点。作者称依据是 2026 年 5 月的公开文档与开源仓库，是定性作者判断，不是独立审计。
• 安全分析：§5 与 Table 2 给出不变量和 Property 5.1、5.2，是论证，不是测量。
• 指标：论文未定义 ASR、时延或效用指标。表中符号不是实测分数。正文写比较有 15 个维度；与 §6 逐条说明能对齐的表行是 14 行，对不上的一行不转写。

主结果

据 Table 3。AgentKernel 一列在表中各行均为 •，这是设计自评分。下表只列能区分对照系统的五行；SmythOS 与 Letta 在这五行上均为 —，故未列入，其 • 见表后说明。

表格较宽，可左右滑动

系统	多维来源	语义到syscall	密码学身份	syscall沙箱	跨生命周期
AgentKernel	•	•	•	•	•
AGT	—	—	•	—	—
AIOS	—	—	—	—	—
OpenFang	—	—	◦	◦	◦
nono	—	—	◦	•	—

• 作者称多维来源、来源感知检索、语义到 syscall 在对照系统中不是设计重点。来源感知检索未放入上表；Table 3 该行除 AgentKernel 为 • 外均为 —。
• 不能把上表读成其余系统没有 •。AGT 的密码学工作负载身份为 •，nono 的 syscall 沙箱为 •；未列入行中，Letta 的上下文与记忆管理为 •，AIOS 的调度为 •，OpenFang 与 SmythOS 的工具与工作流编排为 •。
• 作者称这些符号不是功能齐平声明，而是用来标出强制生命周期中介今天缺在哪里。OpenFang 的跨生命周期为 ◦，作者的理由是其污点、审计和能力门控只在运行时内组合，不延伸到外部连接的智能体。

作者对实现形态的阅读

• 测的是文档与仓库，不是复现：§6.1.2 按源码和公开文档区分部署。作者称 AIOS 无认证中间件；OpenFang 对托管智能体强制中介，外部 A2A 的模型、记忆和工具不在周界内；SmythOS 的 ACL 可被拿到连接器对象的代码绕过；Letta 的服务边界不给记忆项加信息流约束。
• AGT：作者称核心策略引擎是同进程库，失陷的智能体或能访问解释器的代码可以改策略、跳过钩子或直接调工具。AgentMesh 被写成进程外 SPIFFE/SVID，因此密码学身份为 •、跨组织证明为 ◦、多维来源为 —。
• 沙箱一行：nono 的 syscall 沙箱为 •，语义到 syscall 为 —。作者称沙箱提供不可绕过但没有意图感知，护栏则相反；AgentKernel 的两阶段协议是把二者接上。这是架构主张，论文未报告对应测量。

安全论证中的权衡

• Property 5.1：作者称委托链上能力单调收缩，单阶段策略不能超出前一阶段已签名信封。这被用来支持跨组织委托；论文未报告委托实验。
• 条目级与会话级：作者称会话级污点没有这类假阴性，但一条不可信摘录会污染整个会话，使信息流控制对交互式智能体不可用。条目级用切分准确性换可用性，并称即使认知低估标签，E2–E3 的允许列表仍受 Smax 和清单约束。
• 机制独立不等于结果独立：§5.3 写明上游身份或切分失败可以让下游允许列表过宽。Figure 3 写失陷不级联；正文把保证限定为各层复核，而不是结果互不影响。

其他消融与分析

• 论文未报告消融、参数扫描、查询次数或重复次数。
• 效用损失阈值 λ、委托深度上限：论文只说可配置或不超过 λ，未给数值。
• P2 与 E1：论文写为亚毫秒、确定性；未报告分布或负载。
• §7.4 待测项不是结果：并发下 eBPF 探针安装/拆除的时延分布、百万级带溯源条目上的格搜索、对抗模糊切分时的污点保真度，以及跨域语义防火墙校准。
• 论文未报告失败案例的实测样本。阴性内容是架构残余风险，见 §5.5，不是实验阴性结果。

作者指出的局限与后续方向

• 污点切分：对抗内容若模糊可信与不可信片段的边界，条目级标签可能低估真实污点。作者称稳健切分仍是开放问题（§5.5、§7）。
• 分类器：P3 在假阳性与假阴性之间权衡，作者称了解决策边界的对手可构造盲区；P1–P4 降低该风险但不消除（§5.5）。§7.4 另称 P3 与 E2 的对抗鲁棒性尚未按智能体安全负载刻画，纵深论证也不能去掉分类器失陷跨支柱传递的风险。
• 信任根与 TCB：GAR 签名密钥失陷被作者视为会使身份支柱失效；跨 GAR 联邦列为后续，并会带来交叉认证问题（§5.5、§7.5）。作者称合并后的 TCB 大且跨实现域，尚未最小化（§7.4）。
• 不可绕过与可移植：三适配器为唯一路径被写成部署责任；异构环境中保证这一点是运维挑战（§5.5、§7.4）。E2 依赖 eBPF，作者称 Linux 原生，macOS 与 Windows 可用性有限，需替代后端提供同等不可绕过性（§5.5、§7）。
• 验证与测量：不变量按构造执行，但未机械验证；形式化证明被作者推迟到配套论文（§5.5、§7）。§7.4 称真实负载下的性能与安全刻画尚未完成，并列出 eBPF 时延、百万级条目上的格搜索，以及对抗压力下的端到端态势。
• 策略与适用范围：作者称论文没有处理谁来写 Smax、如何对照实现校验工具清单、跨组织策略冲突如何消解（§7.4）。四支柱被写成适合交互式、带工具、有持久记忆的智能体；纯反应式智能体、涌现式而非层级委托的群体、无持久记忆者未必需要全部支柱，最小配置是开放问题（§7.1）。

实验覆盖范围

• 系统比较是 Table 3，列为 AgentKernel、AGT、AIOS、OpenFang、SmythOS、Letta、nono；编排框架在 §6.1.1 讨论，作者说明不入该表。
• 评分被写成对 2026 年 5 月公开文档与开源仓库的定性作者判断，论文未报告独立审计或复现实验。
• 安全性质写在 §5 与 Table 2，含 Property 5.1 与 5.2；论文未报告机械证明、对抗评测数字、被测模型或样本量。
• §6.1.2 用部署形态区分 AIOS、OpenFang、SmythOS、Letta：安全机制或者只对托管智能体强制，或者可选。AgentKernel 的部署形态被写成次要，三适配器不可绕过被写成不变量。
• 论文写出的执行底是 eBPF、进程树监视和允许列表，感知是 P1–P4，认知是条目级格污点。论文未报告这些机制的查询次数、时延或效用数字。

AgentKernel 是把安全做成组织原则的智能体 OS 架构，不是带跑分的攻防评测。

• 问题：长时程会话把不可信输入、特权指令、持久记忆和工具副作用连在一起。作者认为编排框架、运行时、治理平台和沙箱各盖一段，且常与智能体同进程或可选。
• 做法：参考监视器放在 LLM 上下文外。GAR 用 Ed25519 签发绑定开发者、代码制品、操作者和部署上下文的 AIC，私钥留在本地内核。输入经四级感知；记忆按条目在格上传播污点并默认私有；工具权限取交集后由 eBPF 约束进程树，再用计划与轨迹对照。应用只经 LLM、工具、存储三个适配器接入。
• 比较：论文没有 ASR、时延或效用数字。Table 3 里，多维来源、来源感知检索和语义到 syscall 三行仅 AgentKernel 为 •，其余对照为 —。同一张表上，AGT 的密码学身份、nono 的 syscall 沙箱、Letta 的记忆管理、AIOS 的调度、OpenFang 与 SmythOS 的工具编排另有 •。作者称符号是 2026 年 5 月文档上的定性判断，且 AgentKernel 一列是设计自评分。
• 论证：作者称委托链上能力只能收缩，工具及其后代的 syscall 限制在语义层算出的允许列表内；同时不声称四支柱在结果上完全独立。
• 结论：作者认为不可绕过的结构安全可以同时放宽可委托的输入、记忆和工具，AgentKernel 应位于现有 harness 之下，而不是替换它们。作者也写明形式化验证和真实负载刻画尚未完成。