AI Agent 进入系统层：现在有哪些开源项目在解决这个问题？

上一篇聊到一个问题：AI Agent 最大的问题，可能不是智商，而是权限。

Agent 越聪明，能做的事情越多，但它真正进入生产环境以后，我们马上会遇到另外一个问题：到底应该给它多少权限？

如果 Agent 只能聊天，它不需要什么权限；如果 Agent 真正开始工作，它就必须访问文件、调用 API、执行代码、操作 Git、访问数据库，甚至部署 Kubernetes。

于是问题就从"AI 能不能做"变成了：

AI 做这件事情的时候，系统应该允许它做到什么程度？

这也是为什么我最近开始关注一个比较有意思的方向：AI Agent 的系统层。

现在这个方向还没有形成一个统一标准，也没有一个公认的"Agent OS"，但已经出现了一批很有意思的开源项目。它们虽然名字不同，解决的问题却越来越接近：如何让 Agent 在拥有足够能力的同时，又不会拥有无限权限。

第一类：AIOS，真正从"操作系统"角度思考 Agent

比较早进入这个方向的是 AIOS：LLM Agent Operating System。

这个项目来自学术界，核心思路非常直接：既然未来会同时运行大量 Agent，那么为什么还要让每个 Agent 自己管理模型、Memory、工具、上下文和资源？

不如像传统操作系统一样，在 Agent 和底层资源之间增加一个统一的"Kernel"。

AIOS 的架构里就出现了类似操作系统的概念，包括 Agent 调度、Context Management、Memory Management、Storage、Access Control，以及对 LLM 和外部工具等资源的管理。论文把这些能力统一放到了一个 AIOS Kernel 中，并提供 Agent SDK 给上层应用使用。

简单理解就是：

arduino 复制代码

Agent
  ↓
AIOS SDK
  ↓
AIOS Kernel
  ├── Scheduler
  ├── Context
  ├── Memory
  ├── Storage
  ├── Access Control
  └── LLM / Tool Resources

这个思路其实非常重要，因为它第一次比较系统地提出：

Agent 可能也需要类似操作系统的资源管理层。

不过 AIOS 和我们现在讨论的 Agent Security 还是有一点区别。

AIOS 更偏向：

如何管理大量 Agent 的计算资源和运行时。

而现在越来越火的 Agent Sandbox，更关注：

如何限制一个 Agent 能干什么。

所以 AIOS 可以看成这个方向的早期探索。

第二类：NVIDIA OpenShell，开始真正解决"Agent 能干什么"

如果说 AIOS 是从论文和操作系统架构角度思考问题，那么现在非常值得关注的一个实际项目就是 NVIDIA OpenShell。

OpenShell 的定位非常明确：

Safe, private runtime for autonomous AI agents。

它不是重新造一个 Linux，而是在 Linux、容器、MicroVM、Kubernetes 等现有基础设施之上，为 Agent 提供一个受控的 Sandbox Runtime。OpenShell 当前支持 Linux，也支持 Apple Silicon macOS 和实验性的 Windows WSL2，并可以使用 Docker、Podman、MicroVM 或 Kubernetes 作为运行后端。

它解决的核心问题其实就是一句话：

让 Agent 可以做事，但不能随便做事。

例如一个 Coding Agent 需要：

复制代码

读取代码
写代码
执行 npm
访问 GitHub
调用模型 API

OpenShell 不会简单地告诉你：

"全部允许。"

而是通过声明式 Policy 去规定：

bash 复制代码

文件系统：
/workspace ✓
/etc ✗

网络：
github.com ✓
unknown.com ✗

进程：
node ✓
python ✓
某些危险 syscall ✗

凭证：
只允许访问指定 Provider

而且这些 Policy 不是简单的配置文件摆设。OpenShell 会在运行时对文件访问、系统调用和网络连接进行控制，网络访问还可以按照具体 endpoint 和 HTTP 方法进一步限制。

例如：

bash 复制代码

GET /repos/xxx
✓

POST /repos/xxx/issues
✗

这就非常有意思了。

传统权限通常是：

"允许访问 GitHub。"

而 OpenShell 可以进一步做到：

"允许访问 GitHub 的这个 API，但不允许执行这个 HTTP Action。"

这已经开始从"资源权限"进入"行为权限"。

OpenShell 为什么值得特别关注？

因为它已经不是单纯的 Demo。

目前 OpenShell 已经可以直接运行 Claude Code、Codex、OpenCode、GitHub Copilot CLI 等 Agent，也提供 Python、TypeScript、Go、Rust SDK。

也就是说，你完全可以想象这样一个架构：

css 复制代码

             Claude Code
                  ↓
                Codex
                  ↓
               OpenShell
                  ↓
        ┌──────────────────┐
        │ Sandbox          │
        │ Policy           │
        │ Credential       │
        │ Network          │
        │ Audit            │
        └────────┬─────────┘
                 ↓
            Linux / K8s

这就和我们前面讨论的观点高度吻合：

Linux 不一定需要被替换，但 Linux 上面可能需要增加一层 Agent Runtime。

而 NVIDIA 在 2026 年 9 月推出 Open Agent Safety Platform，也把 OpenShell 放到了一个更大的 Agent 安全体系里。

第三类：Agent Sandbox，思路更简单------先把 Agent 关起来

除了 OpenShell，还有一类项目非常直接：

Agent Sandbox。

它们的核心思想不是设计一个完整的 Agent OS，而是：

先给 Agent 一个隔离环境。

这其实很好理解。

假设你让 Agent 自己执行：

复制代码

bash
python
npm
pip
git
curl

那么最危险的事情其实不是 Agent 本身，而是：

它执行出来的代码到底能碰到什么？

所以 Sandbox 会把 Agent 放到一个隔离环境里面。

例如：

markdown 复制代码

Host
│
├── Database
├── SSH Key
├── Production
│
└── Agent Sandbox
       ├── Python
       ├── Node
       ├── Git
       └── Limited Network

Agent 可以在 Sandbox 里折腾。

即使它执行了一条错误命令，也不会直接把 Host 搞坏。

这其实就是我们熟悉的：

Container / VM / MicroVM

只不过现在这些技术开始被重新用于 AI Agent。

第四类：Sandlock，把目光直接放到了 Linux Kernel

还有一个非常有意思的研究方向叫 Sandlock。

它的思路甚至更加底层：为什么一定要依赖容器、MicroVM 或 root 权限？

能不能直接利用 Linux 本身的非特权安全机制，对 Agent 的文件、网络、IPC 和 syscall 进行限制？

Sandlock 就是在探索这个方向。它试图把静态策略编译成内核强制执行的规则，同时用一个非常窄的 Supervisor 处理运行时决策，并且不要求 root、cgroups、镜像或者强制 Namespace。

这个方向我觉得特别值得关注。

因为它说明：

Agent Security 不一定意味着"再套一个很重的虚拟机"。

未来也可能是：

复制代码

Agent
 ↓
轻量 Sandbox
 ↓
Linux Kernel Security Primitive
 ↓
Host

这样启动速度更快，资源消耗也更低。

对于大量短生命周期 Agent 来说，这可能非常重要。

第五类：AgentOS，更像"给 Agent 做一台专用电脑"

还有一种更激进的路线，就是直接做：

AgentOS。

这类项目通常不会真的从零写一个 Linux Kernel，而是在 Ubuntu、Linux 等基础上，把 Sandbox、AppArmor、Credential Vault、Audit 等能力组合起来，形成一个专门运行 Agent 的环境。

这种路线其实非常像：

复制代码

Ubuntu
 ↓
Security Layer
 ↓
Agent Runtime
 ↓
Agent

它和普通 Linux Server 最大的区别不是 Kernel，而是：

默认假设这里运行的不是普通程序，而是一群自主 Agent。

这可能是未来非常有意思的一种服务器形态。

我们过去部署服务器的时候，思考的是：

这个服务需要什么 CPU、内存、磁盘？

未来部署 Agent 的时候，可能还要思考：

这个 Agent 可以访问什么数据？

可以访问哪些网络？

可以调用哪些工具？

哪些操作需要审批？

它的凭证怎么管理？

出问题以后怎么回滚？

服务器本身可能开始变成：

Agent Runtime。

这些项目其实不是竞争关系

把这些项目放到一起，你会发现它们解决的是不同层次的问题。

复制代码

AI Agent
   ↓
Agent Framework
   ↓
Agent Runtime
   ↓
Agent Security / Policy
   ↓
Sandbox
   ↓
Linux Kernel
   ↓
Hardware

AIOS 更关注：

Agent 怎么调度和管理资源。

OpenShell 更关注：

Agent 怎么安全运行。

Sandbox 更关注：

Agent 怎么隔离。

Sandlock 这类项目更关注：

Linux Kernel 怎么限制 Agent。

AgentOS 则更关注：

能不能把这些东西组合成一个完整的 Agent 运行环境。

所以它们并不是简单的"谁替代谁"。

未来甚至可能组合在一起。

真正有意思的地方：Agent 权限正在从"资源"变成"行为"

我觉得这是研究这些项目以后最值得注意的一点。

过去我们做权限系统，通常是：

sql 复制代码

User
 ↓
Role
 ↓
Permission
 ↓
Resource

比如：

css 复制代码

User A
 ↓
Admin
 ↓
Database Read
 ↓
Orders Table

但 Agent 的权限可能变成：

arduino 复制代码

User
 ↓
Agent
 ↓
Task
 ↓
Policy
 ↓
Tool
 ↓
Action
 ↓
Resource

例如：

sql 复制代码

Coding Agent

GitHub
✓ Read
✓ Create Branch
✓ Commit
✓ Create PR
✗ Merge Production

Database
✓ SELECT
✗ UPDATE
✗ DELETE

Kubernetes
✓ Get Pod
✓ Read Logs
✓ Restart Pod
✗ Delete Namespace

这时候我们控制的已经不是：

Agent 能访问什么。

而是：

Agent 在什么情况下可以做什么。

我认为这才是 AI Agent 带来的真正系统层变化。

所以，Linux 其实不用被 AI 替代

回到最开始的问题：

B 端是不是主要跑 Linux？

是。

Linux 是不是已经有大量成熟的权限机制？

也是。

那为什么还需要这些项目？

因为 Linux 解决的是：

程序级安全。

而 Agent 需要解决的是：

行为级安全。

所以未来很可能不是：

复制代码

AI Agent
 ↓
全新的 Agent OS
 ↓
替代 Linux

而是：

复制代码

AI Agent
 ↓
Agent Runtime
 ↓
Agent Policy / Security
 ↓
Sandbox
 ↓
Linux
 ↓
Hardware

Linux 继续做 Linux。

Kubernetes 继续做 Kubernetes。

容器继续做容器。

但在它们之上，会慢慢出现一层专门理解 Agent 的基础设施。

这可能才是 Agent 基础设施真正的机会

过去我们讨论 AI Agent，注意力几乎全部集中在模型和应用层。

模型越来越强，Agent 越来越聪明，MCP 越来越普及，Coding Agent 越来越能够替代开发者完成具体工作。

但当 Agent 真正开始进入生产环境以后，企业一定会问一个问题：

"我怎么敢给它生产环境权限？"

这时候，模型能力反而不是第一问题。

真正的问题变成：

Identity、Permission、Policy、Sandbox、Approval、Audit。

所以我越来越觉得，AI Agent 的下一波基础设施竞争，很可能不会发生在"谁又做了一个更聪明的 Agent Framework"。

而会发生在：

谁能让企业放心地把更多权限交给 Agent。

Agent Framework 解决的是：

让 Agent 会做事。

Agent Security Layer 解决的是：

让 Agent 能安全地做事。

而这两者之间，可能正好就是未来几年非常值得关注的一层基础设施。