面向智能体的高效 HPC 系统：挑战与机遇

编码智能体已成为 HPC 的真实用户，但现有抽象、接口和策略仍按人类工作流设计，设施与智能体如何协同设计才能高效、安全、公平地共享集群。

• 场景与重要性：作者称在所测生产集群上，运行 Claude Code、Codex、Cursor、Copilot 的用户只占观测人口的 19.5%，却占作业提交 55.8%、CPU 核时 29.1%、GPU 时 42.7%。智能体把 LLM 放进读改文件、执行命令、观察结果并迭代的工具循环，并已进入研究回路。
• 行为差异：作者认为智能体不是更快的人类：命令速率为人类的 20.8 倍，并在夜间和周末持续；工作被拆成细粒度 explore–modify–execute 循环，并以试错战役追求开放目标。由此带来调度控制面压力、面向带宽的文件系统上的元数据密集 I/O、跨会话重复发现，以及新的提示注入与策略执行面。
• 现有应对不足：作者认为禁止智能体不可持续，因为智能体使用与人类相同的 shell、文件系统和调度接口，禁令难执行且会放弃收益；把智能体当普通用户则会让低效与风险随采用增长而叠加。
• 核心主张：作者主张协同设计（co-design）：设施把智能体当作一等主体（first-class principals），智能体成为感知设施的租户（facility-aware tenants），显式考虑共享资源成本与站点策略。论文称这是刻画智能体使用并识别智能体感知 HPC 挑战的第一步，议程覆盖计算与调度、存储、智能体记忆和安全。

论文在 §II 把背景分成 HPC、机器学习重塑科学计算、以及能力增长中的智能体三组，安全相关工作放在 §VII。

HPC 批处理与调度

• 批调度与回填：作者把 HPC 描述为在有限共享硬件上的批计算，用调度器在多用户间复用固定机器；作业预先声明核、内存、GPU 和 walltime，优先级反映年龄、服务质量以及课题组（PI）层面的 fairshare。回填（backfilling）在不推迟已有预留的前提下填补空闲间隙 [5]、[6]，walltime 限制每个作业。
• 两层设施与并行文件系统：登录节点承担编辑、编译、环境准备、数据暂存和作业提交；持续计算在调度器管理的计算节点上进行。两层都访问为高带宽并行分布式 I/O 优化的共享文件系统 [7]、[8]。作者称这些机制大体假设人类节奏的间歇使用和数量有限、形态规整的作业。
• 与云的差别：作者对比弹性云持续放置和扩缩服务 [3]，HPC 接口不是“现在就跑”，而是“资源可用时跑这份已指定的请求”。

机器学习重塑工作流与硬件

• ML 的三种角色：Carleo 等 [9] 所述的预测（如蛋白质结构 [10]、天气预报 [11]）、替代昂贵模拟的学习代理 [12]，以及嵌入数值方法的学习组件（原子间势 [13]、学习闭合或离散化 [14]）。战役因此越来越多地在同一设施上混合预处理、训练、推理和模拟 [15]。
• 硬件异构：产业需求推动 GPU 走向稠密张量计算，并出现 TPU 等加速器 [16]；现代加速器结合张量单元、低精度运算和高带宽内存 [17]，以及 MIG 等共享机制 [18]。作者举例称面向推理的 GPU 可能 FP64 吞吐有限，资源选择日益关乎类型、局部性和连通性，而不只是数量。

从静态工作流到目标导向战役

• 工具循环与科学闭环：智能体把 LLM 置于工具使用循环 [1]；仓库级软件工程进展 [2] 使该循环可用，Coscientist [21] 展示科学中的类似闭环。作者称所测集群上已有 Claude Code、Codex、Cursor、Copilot。
• 工作流系统：传统 HPC 工作流常把可执行文件、资源和执行顺序预先写成静态 DAG [22]；Parsl [23] 动态构造图，Colmena [24] 等 ML 导向框架根据中间结果调整模拟选择，但决策逻辑仍预先编程。作者认为智能体更进一步：任务生成本身取决于对中间结果的解释，执行图在行动、观察和重规划中浮现。

安全与系统机制

• 提示注入：先前智能体安全工作主要研究经网页浏览和搜索的提示注入 [30]、[31]。作者称 HPC 上的主要暴露通道不同，以外码与数据获取为主，而非搜索。
• 隔离机制：作者以 Landlock [32] 和 seccomp 说明更强隔离通常在资源或系统调用边界执行，而不只检查命令。存储侧引用共享无关架构 [28] 与主动存储 [29]，以及 NFS [27] 上 READDIR、LOOKUP、GETATTR 的往返。

基线与数据：论文没有算法基线。对照是同一窗口内由进程祖先划分的人类活动；评测环境是 Harvard FASRC，2026 年 7 月 7 日至 8 月 1 日的调度遥测与登录节点进程活动。

作者把本文定位为：在生产集群上直接测量 T3、T4，说明智能体驱动负载与人类使用在交互模式上有实质差别，并由此为计算、存储、记忆和安全四层提出协同设计议程，而不是提出已实现的调度器或防御系统。

论文不做新系统实现，而是测量生产集群上的智能体使用，再按 Figure 1 的四层——集群计算、集群存储、智能体记忆、安全——把挑战与机会写成研究议程。趋势 T1–T4 贯穿全文：T1 为 ML 成为科学计算的常规手段，T2 为智能体能力增长使自主研究成为可能并放大风险，T3、T4 为作者在集群上直接测量的高频细粒度交互和更快的实验迭代。

测量与归因

• 集群与窗口：Harvard FASRC，2026-07-07 至 2026-08-01。集群有超过 1,740 个计算节点、122,000 CPU 核、2,000 GPU、合计 1.12 PB 内存。窗口内 1,611 名用户提交 7,088,836 个作业，合计 3,570 万 CPU 小时和 724,120 GPU 小时。
• 采集：集中采集器周期性记录 Slurm 作业、节点分配和 GPU 利用率。登录节点每五分钟做一次全节点快照，并部署 5 Hz 轻量监控，遍历进程表，关注从 tty 派生或属于已知智能体 harness 的进程，用以重建每会话动作轨迹。作者注明同样信息可用 eBPF 更高效地采集，但需要在生产设施上做内核级插桩。
• 归因：智能体与人类共用账户，标签由推断得到。进程若从已识别的智能体 harness 派生则标为智能体驱动；若从无智能体祖先的交互式 tty shell 派生则标为人类驱动；两者都不符合的进程排除。例如 Claude Code 的子进程算智能体驱动，从 tty 派生且无智能体祖先的算人类驱动。
• 伦理与局限声明：日志在人工分析前做了脱敏；发现的安全问题已负责任披露。作者写明两点测量局限：智能体用户与人类用户是不同人群，可能贡献部分观测差异；固定速率采样进程表会漏掉短命进程，但作者认为这类似于时间采样，不应偏置观测。

计算：试跑、异构与控制面

• 挑战：短命、时延敏感的试跑若排队过久会拖慢整场科学战役。作者讨论显式“trial”优先级可能被滥用：智能体可能用很短 walltime 换取优先级并用检查点维持进度，从而增加调度开销。硬件从 V100 到 B200 跨代，内存、带宽和不同精度吞吐不同；作者举例 B300 相对 Hopper 提高低精度吞吐，但对 FP64 重的科学负载吸引力较低。整卡或固定比例 MIG 把计算与显存绑在一起。作业内部阶段也会变化，作者举 AlphaFold 3 在 CPU 重的数据流水线与 GPU 重的推理之间交替。
• 调度查询：作者称智能体常在紧循环里轮询，例如对每个排队作业附着专用轮询，使控制面压力随提交量超线性增长。
• 机会：试跑感知优先级需要识别真实试跑、限制资源与时长，并在行为不再符合意图时收回特权；约束可放在智能体、harness 或调度器，作者称何处执行仍是开放问题。集群应暴露内存容量、计算能力、精度吞吐和互连拓扑，而不把加速器收成泛化的 “GPU”。事件驱动接口只在状态变化或失败时通知，或由轻量监控服务聚合状态并推送。更细分配希望 GPU 显存与计算可按需求独立划分；MIG 的预定义配置把二者一起切分，共址则要理解利用率并监测干扰。

存储：带宽型设施上的元数据负载

• 挑战：并行文件系统按大量 rank 的大块对齐顺序 I/O 配置。智能体因模型上下文有界，常把文件切成小片反复读，使一次顺序读变成多次分散访问。目录遍历在 NFS 一类无状态协议上把 READDIR、LOOKUP、GETATTR 变成独立往返，多智能体同时递归检查大目录树时可形成元数据风暴。作者称单次高层工具会展开成多个系统调用，且同一任务内可能重复检查。
• 会话状态：Figure 5b 中智能体进程中位年龄 7.5 天、人类 3.6 天。节点故障、补丁重启和维护会打断会话；没有持久状态就要从头重放轨迹，重新付出重建长上下文的 token 成本，并可能重复提交作业等非幂等副作用。
• 机会：把频繁访问的数据留在节点本地 NVMe 或页缓存，但作者提出开放问题：只本地化智能体正在碰的文件、更大工作集，还是用户整个项目状态；就地修改还会产生必须与远程存储一致的脏状态。把 grep、head、wc 一类查询卸载到数据所在处，只返回最终结果。作者称一块 64 盘 NVMe 服务器如今可接近每秒约 5 亿 IOPS，而网络 I/O 仍在每秒百万量级。接口若只提供固定服务端算子则简单安全但覆盖有限，若允许任意计算则存储系统变成通用执行平台。并行文件系统有容量配额，对元数据操作速率控制很少；限速单位既不宜是进程也不宜是账户。作者还主张把智能体当作计算作业来挂起、迁移和恢复，并定义何为持久智能体状态。

智能体记忆：持久化与来源

• 挑战：当前编码智能体主要依赖会话范围的上下文。作者报告作业以 OUT_OF_MEMORY 结束后，智能体仅 3% 的情况原样重提未改的内存请求，人类为 40%，说明会话内会从失败中调整；但新会话必须从磁盘产物重建先前工作。57% 经历失败的智能体驱动用户至少有一个签名在两个或更多不同场合以同样方式失败：46% 出现在不同日历日，中位间隔 9.1 小时，95% 来自不同的进程提交。
• 跨用户：Table II 显示大量作业共享工作目录、相同脚本或同一应用，许多失败来自工具链版本、分区约束或必须针对站点 MPI 构建的库等共享基底。作者称没有跨账户传递知识的机制时，每个用户的智能体都要独立重新发现这些教训。动态改变工作流也使来源（provenance）比预先声明执行图的传统工作流系统更难捕获。
• 机会：分层联邦记忆可在项目、实验室、机构或全集群范围复用经验，但操作知识可能混有未发表想法、私有数据或凭据，需要访问控制与保密边界。记忆还必须再验证、更新或失效，并记录知识来自调度错误、配置、其他智能体还是用户。

安全：不安全动作、外部注入与泄密

• 观测到的行为类型：作者称智能体为完成任务，遇到权限错误、TLS 失败或缺包时可能削弱防护而不是处理根因。观测包括放宽权限、关闭证书校验、把下载直接送入 shell、在 sudo 下重试、放宽自身沙箱；破坏性命令呈智能体偏斜，且存在变量未设置时的递归删除。其他观测包括把内存型临时盘当 scratch、用时间戳操作规避 scratch 清理、在登录节点上直接跑计算、把生产负载放到测试分区，以及启动无口令保护、对公网暴露的服务。
• 注入面：77.2% 的智能体用户在登录层做某种外部获取，13.1% 超过一百次。按目的地，58.1% 从代码托管或包仓库克隆或安装，37.5% 做其他网页获取或下载，仅 15.6% 发起网页搜索。作者认为现实注入面是智能体在正常工作流中取回并阅读的 README、issue、docstring 或安装脚本，注入难以与合法指令区分。16.3% 的智能体用户运行 skills、plugins、MCP servers 或 hooks。
• 机会：作者主张检查放在智能体之下的系统边界，在执行前拦截 shell 动作；同时指出命令级过滤不够，因为同一效果可经脚本、解释器或其他系统调用间接达到。对外部内容做来源跟踪，当外部内容影响后续决策时传播污点，特权动作需要未被污染的授权来源。扩展应限定权限。测量中三周内有 127 个 API key 暴露；秘密可出现在命令、shell 历史或作业输出中，并随打印、看日志、把输出复制进上下文而进一步传播。

实验设置

• 设施与规模：Harvard FASRC，2026-07-07 至 2026-08-01；超过 1,740 计算节点、122,000 CPU 核、2,000 GPU、1.12 PB 内存。1,611 名用户、7,088,836 个作业、3,570 万 CPU 小时、724,120 GPU 小时。
• 被观测产品：Claude Code、Codex、Cursor、Copilot。论文未把某个 LLM 权重当作被测模型，也没有攻击成功率评测。
• 归因与采样：登录节点每 5 分钟全节点快照，另有 5 Hz 进程表监控。智能体驱动定义为从已识别 harness 派生；人类驱动定义为从无智能体祖先的交互 tty 派生；其余排除。作业提交计顶层 Slurm 提交，作业数组展开后每个 array task 单独计数。
• 指标：人口与资源份额、每分钟命令调用、每用户命令类别均值、实验回路重提交时间、取消率与取消间隔、测试分区占比、作业时长、每提交作业的调度查询、GPU 计算利用率与显存联合分布、每 100 次作业提交的文件读写调用、每用户目录树遍历与递归搜索、会话年龄、跨用户作业相似度、破坏性命令次数、外部获取用户比例、暴露的 API key 数。
• 评审：无 LLM 评审、无阈值、无人工一致性数字。日志脱敏后做人工分析。论文未报告重复次数。
• 实验回路定义：一次作业提交之后是监测或检查与编辑，然后再一次提交。

主结果

表格较宽，可左右滑动

指标	智能体	人类	出处
观测用户份额	19.5%	其余	Figure 2a
提交作业份额	55.8%	其余	Figure 2a
CPU 核时份额	29.1%	其余	Figure 2a
GPU 小时份额	42.7%	其余	Figure 2a
命令调用（中位）	3.53 次/分钟	0.17 次/分钟（20.8×）	§III-B
回路重提交（中位）	16.3 分钟	30.1 分钟（约 1.9×）	§III-B

• 份额：作者称智能体是少数用户，却产生该比较中的多数作业提交，并消耗可观的 CPU 与 GPU。Figure 2b 中 Claude Code 占智能体用户和作业的最大份额，CPU 核时份额更大，GPU 小时在产品间分布更广；Codex 与 Cursor 在用户、作业和计算上均有贡献。作者认为这些模式不特定于单一实现。
• 交互构成：Figure 3 为每用户各类命令的平均调用次数。作者称智能体在文本与文件工具、构建与编译、包与环境管理、版本控制上更多；人类活动以 Slurm 操作为主，其中多数是轮询作业完成。智能体更多用非交互命令、文本处理工具和脚本化就地变换改文件，而人类常用 vi 或 nano 等交互编辑器。
• 回路速度：10 分钟内完成的回路，智能体 37.5%、人类 24.7%；30 分钟内 65.4% 对 50.0%；1 小时内 78.8% 对 66.4%；3 小时时差距收到 91.3% 对 88.8%。

计算与调度

• 试跑与取消：智能体作业取消率 10.3%，人类 2.3%。取消后中位间隔 3.2 分钟对人类 32.5 分钟。多数取消作业后有再次提交。测试分区占智能体提交作业的 1.07%，人类 0.29%；作者称智能体相对其全集群比率在测试分区上过度代表 2.285 倍。
• 时长：Figure 4a 中 32.7% 的智能体作业在一分钟内结束，人类 9.3%；中位时长 193 秒对 278 秒。五分钟时 55.9% 对 53.9%，作者称智能体是在相近分布之上多出一批很短的作业。
• 查询与 GPU 利用率：智能体每提交作业的调度查询整体为人类的 1.7 倍，高量用户最高到 14 倍；另一处写智能体每提交作业 3.18 次调度查询，人类 1.87 次。Figure 4b 在人类与智能体全部作业上：约 21.5% 两类资源都重，22.3% 计算受限，11.8% 显存重，44.4% 两者都低；正文概括为 21%、22%、12%、44%，并称 78% 的作业至少在一个维度上留下大量闲置容量。

存储、记忆与安全观测

• 文件与元数据：Table I 按每 100 次作业提交归一。智能体相对人类：head 176.2 对 4.4（40×），tail 51.7 对 1.9（27×），cat 24.8 对 0.29（86×），sed 79.7 对 0.81（98×），全部文件读/改工具 432.7 对 15.4（28×）；vim、vi、nvim、micro 为 0.02 对 3.5（0.01×）。正文另写 head 与 sed 分别为人类速率的 40.0× 和 98.4×。Figure 5a：每用户目录树遍历约 7.9×、递归搜索约 6.7×。Figure 5b：会话年龄中位 7.5 天对 3.6 天。
• 重复失败与作业相似：OOM 后未改内存请求即重提：智能体 3%，人类 40%。57% 经历失败的智能体驱动用户至少有一个同样失败签名出现在两个或更多场合；46% 在不同日历日，中位相隔 9.1 小时，95% 来自不同进程提交。Table II：相同命令字符串 246 个作业、1.5 k 核时、123 GPU 时；相同 submit_line 1,354 作业、373 k 核时、586 GPU 时；相同具体脚本名 88,588 作业、3.18 M 核时、4,157 GPU 时；共享归一化模板 619,801 作业、5.20 M 核时、125 k GPU 时；同一应用 2,137,001 作业、13.34 M 核时、348 k GPU 时；共享 work_dir 44,073 作业、21 k 核时、8,502 GPU 时。
• 破坏性命令与外部获取：Table III：rm -f 智能体 23,655 次、235 用户、每用户 100.7 次，人类 5,458 次、306 用户、每用户 17.8 次；进程杀死智能体 5,612 次、140 用户、每用户 40.1，人类 24 次、8 用户、每用户 3.0；git reset --hard 或 git clean -fd 智能体 1,726 次、209 用户、每用户 8.3，人类 141 次、31 用户、每用户 4.5。作者称 rm -f 合计约为人类的 4.3×、每用户 5.6×，上述 git 操作每智能体用户约为 1.8×。rm -rf 在变量未设置时占其使用的 3.5%。77.2% 智能体用户有外部获取，13.1% 超过一百次；58.1% 克隆或安装代码，37.5% 其他网页获取，15.6% 网页搜索；16.3% 运行 skills、plugins、MCP servers 或 hooks。三周内 127 个 API key 暴露。

其他消融与分析

• 论文没有消融或参数扫描。产品间份额只在 Figure 2b 定性描述，正文未给出 Claude Code、Codex、Cursor、Copilot 各自的百分比。
• 调度查询有两个数字：每作业 3.18 对 1.87，以及整体 1.7×、高量用户最高 14×；论文未说明二者是否同一统计口径。
• Figure 4b 图注百分比（21.5%、11.8%、22.3%、44.4%）与正文约数（21%、22%、12%、44%）不完全相同。
• 作者报告的测量例外：五分钟后作业时长分布接近；三小时后实验回路完成比例接近；智能体与人类是不同人群，差异不能只归因于“是智能体”。

作者指出的局限与后续方向

• 人群不同：§III Limitations 写明智能体用户与人类用户是不同人群，可能贡献部分观测差异。（§III）
• 短进程：固定速率采样进程表会漏掉短命进程；作者认为结果类似于时间采样，不应偏置观测。（§III）
• 试跑优先级的开放问题：如何为真实探索作业提供低时延，同时防止智能体滥用该机制；约束应放在智能体、harness 还是调度器仍开放。（§IV）
• 硬件与分配：如何快速、安全地做代表性剖析而不拖延生产作业或让探索运行消耗过多资源；哪些负载可以共址、何时再划分或共享，仍是开放问题。谁负责监控作业、状态如何高效送达，以及超线性轮询下的调度可扩展性，作者标为开放问题。（§IV）
• 存储接口：本地化范围、写一致性由哪一层控制、卸载接口应暴露什么抽象、元数据速率隔离与智能体可执行的背压、以及不可按普通进程做检查点时什么算持久智能体状态，均写为开放设计问题。（§V）
• 记忆与安全：把教训迁移到相关工作流、不同模型和 harness 仍是开放问题；记忆要在共享与保密之间平衡，并处理过时。如何把轻量、智能体感知的钩子与可执行的系统级隔离结合起来，同时避免误拦合法科学工作流，作者标为开放问题。（§VI、§VII）

实验覆盖范围

• 单集群、单窗口：测量对象是 Harvard FASRC，2026-07-07 至 2026-08-01，1,611 名用户与 7,088,836 个作业；采集为 Slurm 遥测加登录节点 5 分钟快照和 5 Hz 进程表。（§III）
• 归因规则：智能体与人类按进程祖先划分，共用账户；不符合两类定义的进程被排除。观测产品为 Claude Code、Codex、Cursor、Copilot。（§III）
• 四层均为测量加议题：计算、存储、记忆、安全给出观测数字和设计机会，论文未报告已实现的调度器、存储接口或防护系统，也未报告这些机制的效用下降、延迟或误拒。（§IV–§VII）
• 安全证据形式：安全一节报告命令类型计数、外部获取用户比例和 127 个暴露的 API key；论文未报告注入攻击的成功率、自适应攻击或评审模型。（§VII）
• 作者说明的采集取舍：同样轨迹可用 eBPF 采集，但需要生产设施上的内核级插桩，本次未采用。论文未报告采样对短进程的漏计数量。（§III）

这是一篇对生产 HPC 上编码智能体的测量与系统议程论文，不是攻击实现或防御评测。

• 问题：调度队列、整卡分配、公平共享记账和面向带宽的文件系统按人类时间尺度设计。作者认为既不能靠禁止智能体，也不能把它们当普通用户，而应让设施把智能体当作一等主体，让智能体成为感知设施的租户。
• 做法：在 Harvard FASRC 上，于 2026-07-07 至 08-01 结合 Slurm 遥测与登录节点进程采样，用 harness 祖先区分智能体与人类。窗口内 1,611 名用户提交 7,088,836 个作业。趋势 T1、T2 来自更广的 ML 与智能体能力变化，T3、T4 由本次测量得到。
• 使用份额：运行智能体的用户占 19.5%，作业提交占 55.8%，CPU 核时占 29.1%，GPU 小时占 42.7%（Figure 2a）。命令中位速率 3.53 对 0.17 次/分钟（20.8×）。实验回路中位重提交时间 16.3 对 30.1 分钟。
• 计算与存储：取消率 10.3% 对 2.3%，一分钟内结束的作业 32.7% 对 9.3%。测试分区上智能体相对其全集群比率过度代表 2.285 倍。全部文件读/改工具为每 100 次作业提交 432.7 对 15.4 次（Table I，28×）。会话中位年龄 7.5 天对 3.6 天。
• 记忆与安全：OOM 后原样重提内存请求为 3% 对 40%，但 57% 经历失败的智能体驱动用户会在多个场合重复同一失败签名。77.2% 的智能体用户做外部获取，三周内 127 个 API key 暴露。作者的结论是这些差异要求在调度、存储、跨会话记忆和系统边界防护上协同设计，文中各项机制多标为开放问题。