AgentKernel：信任原生的 Agent 操作系统

Hugging Face Daily Papers 收录论文 AgentKernel，提出为 AI agent 构建“信任原生”的操作系统层。作者认为当前治理栈只是与应用共享进程信任边界的中间件，无法阻止不可信输入经模型进入后触发有害工具调用。AgentKernel 把 agent 生命周期包进强制不可绕过的边界，划分为 Identity、Perception、Cognition、Execution 四个支柱，分别应对委托滥用、提示注入、记忆投毒和工具误用。

此前 agent 安全多停留在应用层中间件，与被监控 agent 处于同一信任边界，一旦注入成功即可绕过。该论文把身份、输入中介、记忆治理和执行控制上移为操作系统级强制服务，将安全从可选配置变为不可绕过的默认约束，为跨组织协作与更大工具权限提供结构前提。

机制是把经典 OS 安全原则映射到语义层：Identity 管理可验证委托关系，Perception 用分层过滤替代单点过滤，Cognition 以信息流控制约束长期记忆写入与读取，Execution 把语义判定落到内核级强制点。其前提是安全结构与能力开放正相关，边界越可靠，越能安全授予广泛工具权限。

对 agent 平台与工具链研发而言，安全能力可能从应用内插件转为运行时底座，接入方式、权限模型和记忆存储都需重新设计。短期会增加集成与迁移成本，长期或降低因提示注入导致的事故处置成本，并使跨组织 agent 协作具备可审计的身份与执行边界。

• 在 agent 运行时中试点内核级身份与委托管理，替代应用内自建权限校验
• 为长期记忆引入信息流控制与来源标记，限制投毒内容影响检索结果
• 将工具调用权限收敛到不可绕过的执行边界，再按场景逐级放开
• 面向跨组织协作场景提供可验证的 agent 身份与调用审计能力

• AgentKernel 是否已有原型实现或可复现的实验数据
• 四支柱机制相较现有中间件方案的具体性能与安全提升幅度
• 与主流 orchestration 框架和 agent runtime 的兼容或替换成本
• 强制边界带来的延迟与工程改造成本是否可被产品接受