TL;DR

本文核心观点：

  1. 根本矛盾：用户授权「任务意图」，操作系统暴露「资源原语」 — 传统 OS 的安全模型基于「资源暴露 + 权限检查」，但一旦 agent runtime 被攻破，攻击者可把 POSIX 级原语组合成超权行为
  2. 核心范式转变：从资源管理器到意图过滤器 — Agent 不再直接申请资源，而是提交结构化意图声明，由系统从中合成最小权限环境
  3. 四层架构 — Ghost Kernel（最小可信内核）、Logic Shutter（意图识别与策略执行）、Agent Capsule（受限运行时）、Semantic Boundary Gateway（外部协议处理）
  4. 不剥夺通用计算能力 — AgenticOS 将通用能力封装为语义受限的 capability，而非将 capability 直接交给 agent runtime

背景：传统 OS 安全模型的结构性挑战

随着 LLM 驱动的自主 agent 获得规划、工具调用、网络访问和代码执行能力，传统操作系统基于”资源暴露 + 权限检查”的安全模型面临结构性挑战。

关键张力：用户授权”任务意图”，但操作系统暴露的是”资源原语”。例如，用户可能只授权 agent”整理项目实验结果并生成摘要”，但传统系统中 agent 进程通常同时获得文件读取、网络访问、子进程执行、动态加载、临时目录写入等通用能力。一旦 agent 被 prompt injection、恶意依赖或被污染的工具输出攻破，攻击者可以将这些通用能力组合成横向移动、敏感数据泄露、持久化或隐蔽通信路径。

核心范式：从资源管理器到意图过滤器

AgenticOS 的核心观察是：对于高度自主的 agent，安全边界不应建立在”进程是否被允许访问某资源”的低级问题上，而应建立在”这个外部效果是否符合声明的任务意图”的语义问题上。

AgenticOS 的目标：移除 agent runtime 对通用系统调用语义的直接依赖，用基于意图声明的一次性 capability 合成替代。AgenticOS 被定位为”agent 原生操作系统”——以意图约束和最小 capability 为中心的高度自主 AI 系统安全计算基座。

关键约束：

  • No raw byte streams — Agent Capsule 不直接访问 socket、pipe、设备文件或任意协议字节流
  • No arbitrary execution — Agent Capsule 不直接暴露 exec、fork、dlopen、mmap 等可泛化为任意执行环境的接口
  • Auditability — 所有外部效果必须记录为结构化事件，绑定到 Manifest、capability token 和调用链
  • Least capability — Agent 启动前必须提交 Manifest，系统只生成完成声明任务所需的最小 capability 集

四层架构

Ghost Kernel：最小可信内核

Ghost Kernel 是整个系统的信任根，运行在最高特权级（如 VMM Root、硬件 TEE 安全域）。它不直接接受来自 Agent Capsule 的系统调用，不暴露设备文件，不提供调试接口，不承载复杂协议栈。

仅负责三类原语：

  1. 加密内存分配——基于硬件内存加密或页表隔离机制，为每个 Agent Capsule 分配孤立物理页
  2. 确定性时间片调度——提供受控 CPU 时间分配，减少通过调度时间构建隐蔽通道的能力
  3. 度量与证明根——提供 capsule 初始状态、ABI Stubs、Manifest 绑定和语义库版本的加密哈希

Logic Shutter：语义翻译层与策略执行点

Logic Shutter 负责意图识别、capability 验证、策略执行、信息流标签和审计日志。

主要功能：

  • 意图解析与验证——接收 Agent Capsule 的语义请求，判断其是否与 Manifest 中声明的 capability 列表、数据流约束和输出目标匹配
  • Capability token 管理——发行、验证、撤销不可伪造的 capability token，绑定到 agent 身份、Manifest、请求链和资源预算
  • 审计日志生成——将每次意图调用记录为不可变结构化事件
  • 信息流标签——向输入数据附加源标签，在输出接口执行基于标签的阻塞、删除或人工确认策略

Agent Capsule：受限 agent 运行时

Agent Capsule 承载受限的 agent runtime，在 Ghost Kernel 分配的隔离内存中运行，只能通过 Intent ABI 与 Logic Shutter 交互，不持有任何 raw system call capability。

Semantic Boundary Gateway：外部协议处理

Semantic Boundary Gateway 处理外部协议、凭证、内容过滤和输出规范化，在意图被确认为合法后才执行外部效果。

Intent ABI 与 Manifest-Only Runtime

Intent ABI：agent runtime 用于提交结构化意图声明的接口。Agent 通过 Intent ABI 提交意图，Logic Shutter 从中合成语义 capability，不暴露原始系统调用接口。

Manifest-Only Runtime：Agent Capsule 只能使用 Manifest 中声明的 capability，不持有任何在 Manifest 之外的系统接口。

威胁模型

论文关注以下 in-scope 威胁：

  1. 完全攻陷的 agent 进程 — 攻击者在 Agent Capsule 内获得任意代码执行，尝试横向移动或隔离边界逃逸
  2. 供应链投毒 — agent 依赖、Skills、模型配置或工具链组件被植入恶意逻辑
  3. 工具输出投毒 — 外部服务返回恶意指令或结构化诱导，导致 agent 执行未授权行为
  4. Capability 组合攻击 — 攻击者不违反任何单一接口策略，但将多个合法接口组合成非预期外部效果
  5. 隐蔽通道攻击 — 攻击者使用调用频率、输出大小、时间差或接口存在性建立低带宽非法通信通道

安全假设

  • 有效隔离原语（硬件内存隔离、虚拟化隔离或可信执行环境）
  • 可信 Ghost Kernel（代码库足够小，关键隔离、调度和度量逻辑可被形式化验证或严格审计）
  • 可靠加密原语
  • 可信策略输入（Manifest、组织策略、人工批准来自可信管理平面）

关键假设：AgenticOS 不假设 agent 本身可信，也不假设 LLM 能可靠识别所有恶意指令。目标恰恰是确保被攻陷或被误导的 agent 仍无法跨越系统授予的语义 capability 边界。

结尾

AgenticOS 代表了 agent 安全从 prompt 层防御下沉到操作系统层强制中介的根本转变——不是剥夺系统的通用计算能力，而是将通用能力封装为结构化、可审计、策略受限的语义 capability，由操作系统原生持有而非交予 agent runtime。这为多 agent 编排和长程自主执行的工业级落地提供了权限边界保证。

Published on 2026-08-31

参考链接