当 Agent 成为内核：AI 原生操作系统路径上的安全系统化研究

一篇 arXiv 论文指出，大语言模型 Agent 已成为能修改代码仓库、操作邮箱、完成购买的特权主体，其权限接近内核级，却缺少传统系统安全所需的中介机制。操作系统厂商正围绕这一事实上的 Agent 内核重建平台，将完整中介变成设计问题。论文用溯源中介与内容语义中介的区分建立信任边界分类，定位出两类语义判断造成的中介缺口。

过去 Agent 被视为应用层工具，安全由沙箱和权限提示兜底；如今它获得接近内核级的授权并直接执行有后果的动作，而平台侧尚无对应中介层。这使安全评估数字的含义发生变化，也把完整中介从既有假设变成需要重新设计的问题。

论文的核心区分是：基于溯源的中介可用确定性检查判定，基于内容语义的中介无法如此。后者需要两类语义判断——在不可信输入中区分数据与指令，以及区分已授权与未授权动作。只要输入和动作未事先限定在可枚举集合内，这一缺口就会留下无法检测的攻击残余，因此攻击成功率不应被单一解读，而应落在从部署欠账到结构性缺口的频谱上。

对做 Agent 产品的团队而言，安全投入不能只靠提示词过滤和事后审计。需要先明确哪些输入与动作可枚举、可确定性校验，把不可枚举部分单独隔离并标注为结构性风险；同时警惕评测有效性偏差，避免把未部署中介的漏洞误判为已解决。

• 在 Agent 执行链中引入可枚举动作白名单与溯源校验层，对未枚举动作强制人工确认或隔离运行。
• 为 Agent 安全评测提供区分部署欠账与结构性缺口的标注框架，避免单一攻击成功率误导采购与上线决策。
• 面向邮箱、代码仓库、支付等高后果场景，设计数据与指令分离的输入网关组件，作为可复用的中介模块。
• 建立 Agent 权限清单审计工具，将当前隐式的内核级授权显式化为可检查的信任边界文档。

• 论文提出的信任边界分类在中真实系统上是否有可复现的落地案例？
• 将模型本身作为仲裁核心的架构，其可行性与失败模式在论文中如何推导？
• 现有评测有效性偏差的具体量化程度如何，尚无证据确认。
• 操作系统厂商围绕 Agent 内核重建平台的具体产品与时间表尚未在证据中出现。