Resumen Técnico: Sistemas Operativos de Agentes (AOS)

Planteamiento del Problema

Los sistemas operativos (SO) tradicionales están arquitecturados en torno a programas deterministas con un flujo de control explícito, ejecución acotada y flujos de trabajo iniciados por humanos. Sus abstracciones centrales —procesos, hilos, llamadas al sistema y permisos de archivos— asumen patrones de interacción predecibles. Sin embargo, los sistemas de IA agéntica introducen un modelo de ejecución fundamentalmente diferente: entidades de larga duración, orientadas a objetivos, que razonan de forma probabilística, invocan herramientas dinámicamente y adaptan su comportamiento basándose en la retroalimentación.

Tratar a los agentes simplemente como aplicaciones de espacio de usuario crea brechas críticas en entornos de producción:

• Desalineación de la Planificación: El progreso del agente depende de eventos externos, latencias de herramientas y restricciones de presupuesto, no solo del progreso de instrucciones de la CPU.
• Caracterización de la Memoria: El estado del agente se extiende más allá de la memoria heap para incluir ventanas de contexto, conocimiento recuperado y metadatos de procedencia con vidas útiles y requisitos de confianza distintos.
• Incompletitud de la Seguridad: Los agentes requieren permisos delimitados para llamadas a herramientas dinámicas con efectos secundarios, algo que los modelos de permisos estáticos no pueden gobernar adecuadamente.
• Déficit de Observabilidad: Los operadores carecen de linaje de decisiones (el "por qué" y el "cómo" de las acciones) y de evidencia de cumplimiento de políticas, dependiendo en su lugar de métricas de recursos.
• Brechas de Gobernanza: La seguridad y la aplicación de políticas deben permanecer deterministas incluso cuando el razonamiento subyacente es probabilístico.

La pregunta central de sistemas planteada es: si los agentes se convierten en entidades computacionales de primer nivel, ¿cómo debería ser el límite del sistema operativo para garantizar la controlabilidad, la rendición de cuentas y la seguridad a escala?

Metodología y Arquitectura

El artículo propone el Sistema Operativo de Agentes (AOS) no como un reemplazo de los kernels existentes, sino como una elevación semántica del control que integra un plano de control agéntico en o junto a los SO tradicionales. La metodología consiste en definir límites precisos, descomponer responsabilidades y mapear estos conceptos a las primitivas existentes de Linux y Windows.

Definición Central y Límites

Un AOS se define como una capa de software de sistemas que gestiona el ciclo de vida, la ejecución, la coordinación y la gobernanza de agentes orientados a objetivos. Enforce (hace cumplir) una separación estricta entre:

1. Plano de Razonamiento: Inferencia probabilística, planificación y selección de estrategia (tratado como no confiable).
2. Plano de Ejecución: Invocación de herramientas deterministas y efectos secundarios (aplicados en entornos de menor privilegio).
3. Plano de Política: Autorización, verificaciones de riesgo y controles de presupuesto (aplicación determinista).

La arquitectura se basa en un Base de Computación Confiable (TCB) que comprende el motor de políticas, la validación de capacidades, las capas de mediación y los subsistemas de auditoría. El TCB asegura que los resultados no deterministas de los sistemas de razonamiento no puedan producir efectos secundarios sin atravesar caminos de aplicación deterministas.

Componentes Arquitectónicos Clave

• Gestor del Ciclo de Vida del Agente: Gestiona estados más allá de los estados de proceso (p. ej., esperando eventos, suspendido) y define semánticas de terminación deterministas, incluyendo la revocación de tokens y el cierre de auditoría.
• Planificador de Agentes (Scheduler): Optimiza para el progreso del objetivo sujeto a políticas, riesgos y restricciones de presupuesto, en lugar de solo la equidad de la CPU. Separa los recursos de razonamiento de los recursos de ejecución para evitar el consumo ilimitado de inferencia.
• Gestión de Contexto y Memoria: Trata la memoria como un recurso gestionado con semánticas explícitas (contexto efímero, memoria duradera, conocimiento recuperado, registros de ejecución). Exige la construcción de contexto determinista y el seguimiento de la procedencia para la auditabilidad.
• Registro de Herramientas y Capacidades: Funciona como un mecanismo de admisión privilegiado que vincula herramientas descubiertas dinámicamente con alcances de capacidad. Impone un pipeline de mediación: validación de esquemas, verificaciones de política/riesgo/presupuesto, ejecución en sandboxes y registro de auditoría de solo adición.
• Política y Confianza: Implementa políticas por capas (autorización estática, restricciones de capacidad, políticas de contexto/riesgo/gobernanza) y estados de confianza deterministas (normal, restringido, en cuarentena).

Modelos de Integración y Mapeo de SO

El artículo evalúa tres modelos de integración y mapea los conceptos de AOS a las primitivas de SO existentes:

1. Runtime de Espacio de Usuario: El AOS funciona como servicios/librerías. Ofrece una adopción de bajo riesgo y portabilidad, pero depende de controles fuertes de red/SO para evitar el bypass.
2. Extensión del SO: Introduce primitivas a nivel de SO (p. ej., la identidad del agente como un principal). Esto ofrece una aplicación más fuerte pero aumenta la complejidad del kernel y la superficie de ataque.
3. Plano de Control Distribuido: Un plano a nivel de clúster que gestiona la identidad y la política, delegando la ejecución a sandboxes a nivel de nodo.

Mapeo a Linux:

• Aislamiento: Utiliza namespaces, cgroups, seccomp y Control de Acceso Obligatorio (SELinux/AppArmor).
• Planificación: Aprovecha cgroups para cuotas de CPU/memoria y pools de recursos separados para razonamiento vs. ejecución.
• Observabilidad: Utiliza eBPF y auditd para correlacionar eventos del SO con IDs de acción de AOS.

Mapeo a Windows:

• Aislamiento: Utiliza Job Objects, Windows Containers, Hyper-V y AppContainer.
• Seguridad: Aprovecha tokens de acceso restringidos, ACLs y Descriptores de Seguridad para la delegación delimitada.
• Observabilidad: Correlaciona el Event Tracing para Windows (ETW) con el linaje de decisión del agente.

Contribuciones Clave

El artículo proporciona las siguientes contribuciones específicas:

1. Definición Precisa: Una definición formal de AOS con límites explícitos que separan el razonamiento probabilístico de la aplicación determinista.
2. Descomposición de Responsabilidades: Un desglose estructurado de los deberes del AOS en ciclo de vida, planificación, memoria, mediación de herramientas, política y observabilidad.
3. Modelos de Integración: Un análisis comparativo de los modelos de espacio de usuario, extensión de kernel y plano de control distribuido.
4. Mapeo Pragmático: Rutas de implementación concretas para Linux y Windows utilizando primitivas existentes (cgroups, namespaces, tokens, eBPF, ETW).
5. Marco de Seguridad: Modelos de amenazas específicos para agentes (inyección de prompts, uso indebido de herramientas, escalada de privilegios) y principios de mitigación deterministas (denegación por defecto, delimitación de capacidades, mediación).
6. Criterios de Evaluación: Métricas centradas en la corrección de la aplicación determinista, la completitud de la auditoría, el confinamiento y la comprensibilidad operativa.

Resultados y Reivindicaciones

El artículo no presenta benchmarks experimentales ni un sistema desplegado. En su lugar, presenta una propuesta de arquitectura de sistemas y un marco teórico. Su principal "resultado" es la demostración de que:

• Las abstracciones de los SO clásicos son incompletas para las cargas de trabajo de agentes, específicamente respecto al progreso del objetivo, el linaje de decisiones y la gestión dinámica de capacidades.
• El AOS puede realizarse sin reescribir los kernels, elevando el control a un plano determinista que media entre los agentes y las primitivas del SO.
• La aplicación determinista es alcanzable incluso con razonamiento probabilístico mediante la separación estricta del plano de razonamiento del plano de ejecución y la aplicación de políticas de "denegación por defecto" con capacidades revocables.

Significación y Alcance

El artículo afirma su significación como un paso fundacional hacia hacer que la autonomía sea determinista en el límite. Argumenta que el desafío de la investigación no es hacer que los agentes sean autónomos, sino asegurar que su autonomía sea controlable, responsable y segura.

• Modestia de las Reivindicaciones: Los autores declaran explícitamente que el AOS no reemplaza los sistemas operativos en su totalidad, ni pretende resolver la Inteligía Artificial General (AGI). No requiere que el kernel ejecute la inferencia del modelo.
• Alcance: El trabajo se centra en establecer una base de sistemas rigurosa para la computación agéntica. Reconoce problemas de investigación abiertos, incluyendo la teoría de la planificación de agentes para el progreso de objetivos, la verificación formal de los pipelines de aplicación y las cadenas de delegación multi-agente.
• Contexto: Este trabajo se realizó como parte del flujo de trabajo de Infraestructura Inteligente Unificada del Open Compute Project (OCP), con el objetivo de proporcionar un enfoque estandarizado para ejecutar agentes de manera confiable en entornos de producción.