ActPlane: Programmable OS-Level Policy Enforcement for Agent Harnesses

Yusheng Zheng, Tianyuan Wu, Quanzhi Fu et al. · eunomia-bpf 团队 · 2026-06-23

🎯 核心问题
AI Agent 在生产环境中通过 harness（LLM 外围的调度/安全软件）执行任务，需要遵守自然语言表达的策略（如"提交前必须跑测试"）。现有方案要么只在 tool-call 层做拦截——遗漏绕过工具层的系统调用路径；要么在 OS 沙箱层控制资源访问——但返回模糊错误信息，Agent 无法理解和恢复。核心矛盾：策略的语义上下文在 Agent 侧，但强制执行必须在 OS 层才能覆盖所有执行路径。

🔧 关键方法
ActPlane 引入一个策略引擎，让 Agent 以信息流控制（IFC）DSL 声明策略，在 Linux 内核中通过 eBPF 执行强制。关键设计：Agent 声明策略意图 → DSL 编译为 eBPF 钩子 → 内核拦截并返回带语义反馈的拒绝信息（不是裸 EPERM）。IFC DSL 支持跨事件策略（事件排序、数据流约束），弥补单次 tool-call 拦截无法表达时序依赖的缺陷。与传统 OS 沙箱不同之处在于：沙箱管资源，ActPlane 管动作语义。

📊 实验或论据
在经验研究中收集的真实策略、编码任务基准和安全基准上评估。验证了 ActPlane 可覆盖工具层拦截遗漏的间接执行路径上的策略合规，开销 1.9%–8.4%。已开源：github.com/eunomia-bpf/ActPlane。

⚠️ 局限
依赖 eBPF，仅覆盖 Linux。策略从自然语言到 IFC DSL 的翻译质量取决于 Agent 侧的理解能力，abstract 未详细讨论这一转换的鲁棒性。跨事件策略的表达力上限（IFC DSL 是否能覆盖所有真实场景）也需读全文了解。

💼 对系统人的启示
这是 eBPF 在 AI Agent 安全领域的一个前沿应用方向。如果你在做 Agent 工程化落地，这套"语义策略 + 内核执行 + 语义反馈"的架构值得借鉴——它比纯沙箱或纯 guardrail 都想得更深。开源可直接试用。

Kops: Safely Extending the eBPF Compilation Pipeline with Native Operations

Yusheng Zheng, Zhengjie Ji, Weichen Tao et al. · eunomia-bpf 团队 · 2026-06-23

🎯 核心问题
eBPF 内核 JIT 采用单 pass 逐指令翻译设计，保持简单可信，但牺牲了优化机会——作者实测 eBPF 比原生编译代码最多慢 2 倍。直接往内核 JIT 加优化面临三重困难：需 upstream 接受（周期长）、增大 TCB（可信计算基）、每个架构都要改。

🔧 关键方法
Kops 提供一个扩展接口：每个新操作（operation）由两种形式组成——①"proof sequence"：用普通 eBPF 指令序列表达，由现有 verifier 检查正确性；②"native emit"：用目标架构机器指令实现，由 JIT 编译。因为 verifier 已经验证了 proof sequence 的语义，native emit 是唯一新增的 TCB 部分。基于此接口，构建了 EInsn：7 个操作（rotate、conditional select 等），都是 CPU 单指令可完成的硬件惯用法。每个 native emit 都有 Lean 4 形式化证明与 proof sequence 等价。还支持整程序原生替换（whole-program native replacement），代价是更大的 TCB。

📊 实验或论据
在 x86-64 和 ARM64 上评估。EInsn 在微基准上加速最高 24%，生产应用最高 12%。整程序替换模式达 2.358 倍加速。所有 native emit 均有 Lean 4 形式化证明。

⚠️ 局限
EInsn 目前只有 7 个操作，覆盖的是"最容易摘的果子"（硬件单指令映射）。更复杂的跨指令优化（如指令调度、寄存器分配改进）是否能用这个接口表达尚不清楚。整程序替换模式的 TCB 增量需要仔细评估安全影响。

💼 对系统人的启示
对 eBPF 性能不满意的团队有了一条不改内核的安全提速路径。"proof sequence + native emit"的双重表示 + Lean 4 证明是一种优雅的可信扩展范式，可能被 upstream 接受的阻力更小。值得关注这个接口能否扩展到更通用的优化。

Aquifer: Hierarchical Memory Pooling with CXL and RDMA for MicroVM Snapshots

Junliang Hu, Huaicheng Li, Ming-Chang Yang · 2026-06-23

🎯 核心问题
生产云集群中 25-35% 的 DRAM 因内存碎片化被浪费（memory stranding）。CXL 和 RDMA 各有优劣：CXL 提供低延迟 load/store 透明访问但限于 pod 范围；RDMA 覆盖集群但延迟高、需软件开销。两者分层组合用于 MicroVM 快照恢复（serverless 冷启动瓶颈）此前没有被研究过。

🔧 关键方法
Aquifer 对 MicroVM 快照做了 hotness-based 格式化：消除零页，仅将热工作集放入 CXL 池，冷页放入 RDMA 池。在 CXL 2.0 multi-headed 设备（无硬件缓存一致性）上跨主机共享快照，使用基于所有权的一致性协议保证正确性。恢复时采用 copy-based page serving：热页从 CXL 内存预装到 VM resume 前，冷页从 RDMA 按需异步加载。

📊 实验或论据
在模拟的 CXL+RDMA 硬件上评估。端到端调用时间：比 Firecracker 原生快 2.2 倍（几何平均），比次优方案快 1.1 倍。

⚠️ 局限
评估基于模拟硬件，非真实 CXL 设备——实际 CXL 设备的延迟特性、multi-headed 设备的可用性可能影响结论。所有权一致性协议的可扩展性（更多主机共享同一快照）在 abstract 中未讨论。

💼 对系统人的启示
如果你在做 serverless / FaaS 冷启动优化且考虑 CXL 硬件，这是目前最贴合的参考工作。"按热度分层 + 所有权一致性"的思路即使在非 CXL 场景（如 NUMA-aware 快照恢复）也可借鉴。但需等真实硬件验证。

FlexServe: A Fast and Secure LLM Serving System for Mobile Devices with Flexible Resource Isolation

Yinpeng Wu, Yitong Chen, Lixiang Wang et al. · 上海交通大学（IPADS） · 2026-06-22

🎯 核心问题
端侧 LLM 推理需要同时保护模型权重和用户数据，攻击者可能通过攻陷 OS 内核窃取它们。ARM TrustZone 是移动端事实标准的硬件隔离技术，但直接用它保护 LLM 推理有两个问题：资源隔离不灵活（安全世界独占内存/NPU 时普通应用受影响），以及安全资源管理效率低（安全世界自己做内存管理开销大）。

🔧 关键方法
FlexServe 的核心思路是解耦资源的"访问权限"与"管理权限"：普通世界 OS 不能访问安全资源，但仍然可以像往常一样管理它们（分配/回收）。具体实现两个机制：Flex-Mem（Recallable Secure Memory）和 Flex-NPU（Recallable Secure NPU）——只有安全世界能访问，但由普通世界 OS 高效分配和回收。在此基础上构建 FlexServe Framework，安全世界运行 LLM 推理，同时与普通世界 OS 协作进行安全内存管理。

📊 实验或论据
与两个基于 TrustZone 的基线方案对比。TTFT（Time To First Token）：比基础 strawman 快 10.05 倍（平均），比优化 strawman 快 2.44 倍。在真实原型上实现。

⚠️ 局限
依赖 ARM TrustZone，不适用于非 ARM 平台。安全世界的 NPU 驱动可信度依赖具体 SoC 厂商支持。Abstract 未提及对普通世界应用性能的影响量化数据——"回收"机制的延迟开销需读全文了解。

💼 对系统人的启示
"访问权与管理权解耦"是一个巧妙的系统设计原则，不局限于 TrustZone——任何需要在安全隔离区运行重资源工作负载的场景都可借鉴。对做端侧 AI 安全的团队是重要参考，尤其是 SJTU IPADS 组在此方向的持续积累。

EnerInfer: Energy-Aware On-Device LLM Inference

Bohua Zou, Nian Liu, Binqi Sun et al. · 上海交通大学（Haibo Chen 组） · 2026-06-22

🎯 核心问题
端侧 LLM 推理的能耗和发热是实际部署的关键瓶颈。现有系统一味优化解码速度，但作者发现端侧推理往往存在可利用的配置松弛（configuration slack）：适度降低 NPU 和内存频率可以在保持用户体验（QoE）的前提下大幅改善能效和散热。然而最优的 NPU/DDR 频率设置因模型、推理引擎、平台和运行时条件而异，没有稳定排序；商用设备缺乏组件级功耗传感器；温度演变受请求到达、响应长度和热历史多因素影响。

🔧 关键方法
EnerInfer 是首个面向端侧 LLM 的联合管理能效、吞吐和热舒适度的推理框架。三个核心设计：①分解式、模型结构感知的性能预测——不做逐模型 profiling，而是基于模型结构特征预测不同 NPU/DDR 频率组合下的吞吐和功耗；②排序驱动的在线反馈——运行时从满足 QoE 的配置中选择能效最优的；③轻量有限视野热预测——动态在能效优先和热约束推理模式之间切换。

📊 实验或论据
在真实硬件上评估：手机（能效提升最高 65%）、笔记本（12%）、开发板（24%），均无 QoE 违规。跨多种真实 LLM 模型测试。

⚠️ 局限
需要对 NPU/DDR 频率有控制权限，这在许多锁定的商用设备上可能受限。模型结构感知预测在新型架构（如 MoE、SSM）上的泛化能力未提及。热预测依赖有限视野假设，长时间持续推理场景下的表现需进一步验证。

💼 对系统人的启示
"不是越快越好，而是在 QoE 约束下最省电"——这个视角对端侧 AI 工程非常实际。如果你在做手机/边缘设备上的 LLM 部署，DVFS 调优 + 热管理是绕不开的工程问题，EnerInfer 的分解式预测 + 在线反馈思路可直接借鉴。

AOHP: An Open-Source OS-Level Agent Harness for Personalized, Efficient and Secure Interaction

Shanhui Zhao, Jiacheng Liu, Guohong Liu et al. · 清华大学 / Tsinghua · 2026-06-22

🎯 核心问题
现有终端用户操作系统以应用为中心设计，对 AI Agent 缺乏原生支持。Agent 需要跨应用调用工具、提取信息、管理记忆——但在传统 OS 上执行开销大、安全风险高。学术界对"Agent 原生操作系统"缺少开放测试平台来探索所需的架构原语。

🔧 关键方法
AOHP 基于 AOSP（Android 开源项目）构建 OS 级别的 Agent harness。核心设计原则：将 Agent 视为一等 OS 公民（first-class OS actors）。引入三个面向 Agent 的系统机制：①个性化服务组合（personalized service composition）——按用户和任务动态编排系统服务；②高效 Agent 接口——自适应 UI + Agent 友好的运行时环境，减少 Agent 与 OS 交互的 token 开销；③安全信息流——OS 层面管控 Agent 的数据访问。保留了 Android 成熟的软硬件生态。

📊 实验或论据
在覆盖 OS Agent 关键能力的挑战性任务上做初步实验。AOHP 对比基线：任务完成率 +21.12%，token 开销 -51.55%，安全策略合规性有明显提升。

⚠️ 局限
"初步实验"（preliminary experiments）意味着评估覆盖面有限。基于 AOSP 修改，与上游 Android 版本同步的维护负担大。Agent 接口设计目前看偏 Android 特定，跨平台可移植性不确定。

💼 对系统人的启示
这是目前少见的"为 Agent 重新思考 OS 抽象"的实际系统工作。-51.55% token 开销的数字说明 OS 层面的 Agent 感知接口确实能减少 LLM 侧的无谓消耗。如果你在做手机端 Agent 产品，AOHP 作为开源测试平台值得关注。与本周 ActPlane 的工作互补——AOHP 偏效率和接口，ActPlane 偏安全策略执行。

本周 7 篇论文来自 5 个主要研究团队，呈现明显的"LLM/Agent 与 OS 交叉"集聚效应：

值得注意：Yusheng Zheng 同周以一作身份发表 2 篇（ActPlane + Kops），且都涉及 eBPF，与 Dan Williams / Andi Quinn 有稳定合作关系。上海交通大学本周贡献 2 篇，分别来自 IPADS（Yubin Xia）和系统组（Haibo Chen），聚焦端侧 LLM 的安全与能效两个互补维度。

LLM / Agent 正在重塑 OS 研究议题

本周 7 篇论文中有 5 篇直接与 LLM 或 AI Agent 相关——这在传统 cs.OS 分类中前所未见。研究方向呈现三层结构：

• OS 为 Agent 服务：AOHP（Agent 原生 OS 抽象）、ActPlane（Agent 策略的内核执行）——操作系统需要为 Agent 提供新的系统调用级原语
• OS 保护 LLM：FlexServe（TrustZone 安全推理）——端侧模型资产保护成为硬需求
• OS 优化 LLM：EnerInfer（能效 DVFS 管理）——"跑得快"不再是唯一目标，"跑得省、跑得凉"同样关键

与此同时，eBPF 生态继续深化：Kops 在编译管线上做可信扩展，ActPlane 将 eBPF 用于 Agent 安全——eBPF 正从"可观测性工具"演进为"通用内核可编程平台"。CXL 方向（Aquifer）虽然还在模拟阶段，但分层内存池化的系统设计已经趋于成熟，等待硬件落地。