AgentKernel：给智能体加上一层不可绕过的安全内核

导语

当智能体能够读取外部网页、调用企业工具，并把中间结论写入长期记忆时，安全问题就不再只是模型输出是否有害。一个看似普通的文档可能携带提示注入指令，污染后的记忆可能在数周后再次影响决策，而拥有高权限的工具调用则可能把语义层面的误判转化为现实操作。AgentKernel的核心主张是：智能体需要类似操作系统内核的基础安全层，而不能只依赖应用代码中的治理中间件。

核心要点

• 从应用治理转向强制边界。 论文认为，现有治理组件通常与被监控的智能体共享进程信任边界。AgentKernel试图把关键安全服务置于智能体生命周期的必经路径上，使身份、输入、记忆和执行控制具备不可绕过性。
• 四个安全支柱。 Identity负责管理智能体及其委托关系；Perception处理外部输入和不同信任等级的信息；Cognition关注中间信念与长期记忆的形成、读取和传播；Execution则约束智能体如何使用高权限工具。
• 把操作系统原则延伸到语义层。 传统操作系统依靠身份、权限、隔离和信息流控制保护资源。AgentKernel将这些思想映射到提示注入、委托滥用、记忆投毒和工具误用等智能体特有的失败模式。
• 渐进式感知与记忆治理。 论文提出，不应把所有输入交给单一过滤器判断，而应根据来源和风险进行分级处理。对记忆实施信息流控制，则有望限制不可信内容进入高信任知识，同时保持检索的可用性。
• 让更强工具权限变得可控。 如果语义决策能够被转换为内核层可验证、不可绕过的执行规则，智能体或许可以在更严格的边界内使用更广泛的工具，而不是简单收回全部权限。

意义与局限

AgentKernel的重要性不在于提出又一个提示词过滤器，而在于重新定义智能体安全的部署位置：安全机制应当成为运行时的结构性能力，而不是开发者可以遗漏、关闭或被业务逻辑绕开的附加模块。这一思路对多智能体协作、跨组织委托和带长期记忆的企业助手尤其有启发，因为这些场景天然涉及多个主体和不同信任等级。

不过，现有素材显示该工作主要是架构主张、系统比较与安全分析，并未给出足以判断实际防护效果的公开实现、基准数据或部署结果。因此，它更适合作为智能体安全的设计蓝图，而不是已经验证成熟的操作系统产品。后续仍需回答：语义风险如何稳定映射为内核策略，策略冲突由谁裁决，以及强制控制会给延迟、可用性和开发复杂度带来多大代价。

来源：Hugging Face Daily Papers