Aegis OS：面向自主编码智能体的多租户事务化操作系统运行时

作者：Hui Zhao（Heurion Research）

摘要：Google Antigravity（agy）、Anthropic Claude Code（claude）和 OpenAI Codex CLI（codex）等自主编码代理在工作站和云主机上执行多步骤软件工程工作流。现有代理环境面临安全-自主困境：操作者必须在逐操作确认提示（会在 45%-57% 的工具调用中打断工作流并引发授权疲劳）与无限制执行（--yolo / --dangerously-skip-permissions，会将主机文件、SSH/云凭据和 API 令牌暴露于提示注入和幻觉风险）之间做出选择。此外，并发代理编辑共享工作树时会相互覆盖彼此的更改，而通过 LLM 上下文窗口内联传递大型产物会产生高昂的令牌开销。
我们提出 Aegis OS（aegis-os），这是一个用 Rust 实现的事务性多租户代理操作系统运行时，通过模型上下文协议（MCP）和 Google Agent2Agent（A2A）协议对外提供。Aegis OS 将授权边界从单个工具调用转移到事务性工作区边界。每个代理都在内核强制的操作系统沙箱（macOS Seatbelt 和 Linux Bubblewrap，采用默认拒绝的 --tmpfs $HOME 隔离和 Unix 套接字出口桥）中运行，并辅以写时复制（CoW）影子工作区（APFS clonefile；单次打开 Linux FICLONE reflink）、具有 L7 方法/路径范围密钥注入和出站 DLP 的身份固定 HTTP 出口代理，以及带内容寻址存储（CAS）的 A2A IPC 总线。在 1,500 次受控调用和跨 52 个编码代理会话的 28,087 次真实调用中，Aegis OS 将提示减少 94.19%-99.88%（受控）和 90.7%-97.9%（真实会话，1.12% IPR），将八类 80 次攻击的攻击成功率在 macOS 和 Linux 上从 100.0% 降至 0.0%，在 APFS 上以 6.3 ms、在 btrfs 上以 15.6 ms 克隆 1,000 个文件（78.1 MB）的仓库，并捕获 10/10 的语法和语义合并冲突。

评论：	19 页，3 幅 TikZ 图，13 张表。开源 Rust 实现和可复现基准测试套件可在此 https URL 获取
主题：	操作系统（cs.OS）；密码学与安全（cs.CR）；多代理系统（cs.MA）；软件工程（cs.SE）
ACM 分类：	D.4.6；D.2.6；I.2.11；C.2.4
引用为：	arXiv:2611.08516 [cs.OS]
	（或 arXiv:2611.08516v1 [cs.OS] 用于此版本）
	https://doi.org/10.48550/arXiv.2611.08516 由 DataCite 颁发的 arXiv DOI

提交历史

来自：Hui Zhao [查看电子邮件]
[v1] 2026 年 10 月 22 日星期四 08:33:02 UTC（41 KB）