Агентные операционные системы (AIOS) управляют ресурсами, памятью и контекстом для ИИ-агентов. В отличие от обычных программ, агенты самостоятельно решают, какие системные вызовы совершать, что создает сложности для контроля их действий и обеспечения безопасности.
Существующие методы наблюдения полагаются на перехват вызовов инструментов или мониторинг системных вызовов через eBPF на ядре хоста. Однако технологии изоляции, такие как gVisor, Kata и Firecracker, используют собственные ядра или виртуальные машины, что скрывает активность агентов от внешних средств защиты.
Стандарты вроде MCP, OpenTelemetry и RuntimeClass решают вопросы подключения инструментов и управления нагрузкой, но не обязывают песочницы передавать данные о фактически выполненных действиях. Из-за этого инструменты безопасности, включая Falco и Microsoft Defender, часто не могут полноценно оценивать работу агентов в изолированных средах.
Для оценки прозрачности работы агентов был создан стенд с использованием уникальных маркеров для операций с файлами, сетью и запусками бинарных файлов. Исследование сравнивало различные конфигурации рантаймов, включая gVisor и QEMU, отслеживая, какие операции фиксируются наблюдателем на хосте.
Результаты показали, что видимость действий напрямую зависит от способа организации файловой системы. Например, в QEMU использование блочного устройства скрывает имена файлов от хоста, тогда как virtiofsd делает их доступными для мониторинга. Это подтверждает, что механизмы изоляции существенно влияют на возможности внешнего контроля.
