Agentao：为工具调用型LLM智能体打造的受治理本地优先运行时
随着大语言模型（LLM）智能体从纯粹的对话系统演变为能够调用工具、修改本地状态、使用持久内存并与外部协议交互的执行系统，其能力边界不断扩展，但随之而来的安全与治理挑战也日益凸显。过度权限、审计缺失、提示注入、工具投毒以及失控的副作用等问题，成为制约智能体规模化落地的关键障碍。在此背景下，一项名为 Agentao 的新研究提出了一种受治理的本地优先运行时架构，旨在为智能体的执行过程提供显式的治理、可检查性和宿主控制能力。
核心思路：分离提议与执行
Agentao 的核心设计理念是将模型生成的行动提案与宿主授权的实际执行相分离。这种“提议-执行”分离模式，类似于操作系统中用户态与内核态的划分，为智能体行为引入了关键的审查与授权环节。具体而言，Agentao 采用分层架构，包括宿主面对接口、宿主契约、运行时核心、权限中介工具系统，以及支持内存、重放、插件、技能、子智能体和协议集成的子系统。
这一架构使得权限、状态、协议边界和执行轨迹成为显式的运行时抽象。例如，工具调用必须通过权限中介的校验，宿主可以精确控制智能体能执行哪些操作、访问哪些资源。同时，所有执行过程都会被记录，形成结构化的执行轨迹，便于事后审计与回放。
威胁模型与治理机制
论文明确阐述了其威胁模型，涵盖了过度特权行为、弱审计性、提示注入、工具投毒和不受控制的副作用等典型风险。Agentao 的设计目标并非提供形式化的安全保证，而是通过工程手段让这些风险变得可控。其治理模型强调宿主控制，即智能体运行环境的所有者（宿主）拥有最终决定权，可以审批或拒绝智能体的行动提案。
这一机制类似于安全领域的“最小权限原则”，但将其应用到了智能体执行层面。通过显式的权限声明和宿主契约，Agentao 试图在智能体的自主性与宿主的控制力之间取得平衡。
实践意义与未来展望
值得注意的是，Agentao 目前并未附带实验数据，作者表示正在进行测试和分析，并将在未来版本中提供实验结果和示例。尽管如此，该框架的提出本身具有重要的实践意义。它为构建“更可治理、更可检查、更适合宿主控制的本地环境”的智能体提供了一条清晰的路径。
对于开发者而言，Agentao 的代码已在 GitHub 上公开，可以直接用于搭建受控的智能体执行环境。对于企业用户，这类运行时有助于满足合规审计要求，降低智能体误操作带来的风险。
总之，Agentao 反映了 AI 智能体领域从“追求能力”向“关注治理”转变的趋势。在智能体日益自主的未来，如何确保其行为符合人类意图和安全规范，将成为决定技术能否落地的关键因素。Agentao 的探索为此提供了有价值的参考。