Riepilogo Tecnico: Sistemi Operativi per Agenti (AOS)

Definizione del Problema

I sistemi operativi (OS) tradizionali sono progettati attorno a programmi deterministici con un flusso di controllo esplicito, esecuzione limitata e workflow avviati dall'uomo. Le loro astrazioni fondamentali — processi, thread, chiamate di sistema e permessi dei file — presuppongono modelli di interazione prevedibili. Tuttavia, i sistemi di IA agentica introducono un modello di esecuzione fondamentalmente diverso: entità a lungo termine, orientate agli obiettivi, che ragionano in modo probabilistico, invocano strumenti dinamicamente e adattano il comportamento in base al feedback.

Trattare gli agenti come semplici applicazioni in spazio utente crea lacune critiche negli ambienti di produzione:

• Disallineamento dello Scheduling: Il progresso dell'agente dipende da eventi esterni, latenze degli strumenti e vincoli di budget, non solo dal progresso delle istruzioni della CPU.
• Caratterizzazione della Memoria: Lo stato dell'agente si estende oltre la memoria heap per includere finestre contestuali, conoscenza recuperata e metadati di provenienza con cicli di vita e requisiti di fiducia distinti.
• Incompletezza della Sicurezza: Gli agenti richiedono permessi limitati per chiamate di strumenti dinamici con effetti collaterali, che i modelli di permessi statici non possono governare adeguatamente.
• Deficit di Osservabilità: Gli operatori mancano della linea di discendenza decisionale (il "perché" e il "come" delle azioni) e delle prove di conformità alle policy, affidandosi invece a metriche di risorse.
• Lacune di Governance: La sicurezza e l'applicazione delle policy devono rimanere deterministiche anche quando il ragionamento sottostante è probabilistico.

La questione centrale di sistema posta è: se gli agenti diventano entità computazionali di prima classe, quale dovrebbe essere il confine del sistema operativo per garantire controllabilità, responsabilità e sicurezza su scala?

Metodologia e Architettura

Il documento propone l'Agent Operating System (AOS) non come un sostituto dei kernel esistenti, ma come un'elevazione semantica del controllo che integra un piano di controllo agentico all'interno o accanto ai tradizionali sistemi operativi. La metodologia prevede la definizione di confini precisi, la decomposizione delle responsabilità e la mappatura di questi concetti sulle primitive esistenti di Linux e Windows.

Definizione Core e Confini

Un AOS è definito come uno strato di software di sistema che gestisce il ciclo di vita, l'esecuzione, la coordinazione e la governance di agenti orientati agli obiettivi. Esso impone una separazione rigorosa tra:

1. Piano di Ragionamento (Reasoning Plane): Inferenza probabilistica, pianificazione e selezione della strategia (trattati come non attendibili).
2. Piano di Esecuzione (Execution Plane): Invocazione deterministica di strumenti ed effetti collaterali (imposti in ambienti a privilegio minimo).
3. Piano di Policy (Policy Plane): Autorizzazione, controlli del rischio e controlli del budget (attuazione deterministica).

L'architettura si basa su un Trusted Computing Base (TCB) composto dal motore di policy, dalla validazione delle capacità, dai livelli di mediazione e dai sottosistemi di audit. Il TCB garantisce che gli output nondeterministici dei sistemi di ragionamento non possano produrre effetti collaterali senza attraversare percorsi di enforcement deterministici.

Componenti Architetturali Chiave

• Agent Lifecycle Manager: Gestisce gli stati oltre quelli dei processi (es. in attesa di eventi, sospeso) e definisce semantiche di terminazione deterministiche, inclusa la revoca dei token e la chiusura dell'audit.
• Agent Scheduler: Ottimizza il progresso dell'obiettivo soggetto a vincoli di policy, rischio e budget, piuttosto che alla semplice equità della CPU. Separa le risorse di ragionamento dalle risorse di esecuzione per prevenire il consumo illimitato di inferenza.
• Gestione del Contesto e della Memoria: Tratta la memoria come una risorsa gestita con semantiche esplicite (contesto effimero, memoria duratura, conoscenza recuperata, record di esecuzione). Impone la costruzione deterministica del contesto e il tracciamento della provenienza per l'auditabilità.
• Registro di Strumenti e Capacità (Tool and Capability Registry): Funge da meccanismo di ammissione privilegiato che lega gli strumenti scoperti dinamicamente a scope di capacità. Impone un pipeline di mediazione: validazione dello schema, controlli di policy/rischio/budget, esecuzione in sandbox e logging di audit append-only.
• Policy e Fiducia: Implementa policy a più livelli (autorizzazione statica, vincoli di capacità, policy di contesto/rischio/governance) e stati di fiducia deterministici (normale, ristretto, in quarantena).

Modelli di Integrazione e Mappatura OS

Il documento valuta tre modelli di integrazione e mappa i concetti AOS sulle primitive OS esistenti:

1. Runtime in Spazio Utente: L'AOS opera come servizi/librerie. Offre un'adozione a basso rischio e portabilità, ma dipende da forti controlli di rete/OS per prevenire bypass.
2. Estensione del Sistema Operativo: Introduce primitive a livello di OS (es. l'identità dell'agente come principale). Ciò offre un enforcement più forte ma aumenta la complessità del kernel e la superficie di attacco.
3. Piano di Controllo Distribuito: Un piano a livello di cluster che gestisce identità e policy, delegando l'esecuzione a sandbox a livello di nodo.

Mappatura su Linux:

• Isolamento: Utilizza namespace, cgroups, seccomp e Mandatory Access Control (SELinux/AppArmor).
• Scheduling: Sfrutta i cgroups per quote di CPU/memoria e pool di risorse separati per ragionamento vs esecuzione.
• Osservabilità: Utilizza eBPF e auditd per correlare gli eventi del sistema operativo con gli ID di azione dell'AOS.

Mappatura su Windows:

• Isolamento: Utilizza Job Objects, Windows Containers, Hyper-V e AppContainer.
• Sicurezza: Sfrutta token di accesso ristretti, ACL e Security Descriptors per la delega di ambito.
• Osservabilità: Correlazione dell'Event Tracing for Windows (ETW) con la linea di discendenza decisionale dell'agente.

Contributi Chiave

Il documento fornisce i seguenti contributi specifici:

1. Definizione Precisa: Una definizione formale di AOS con confini espliciti che separano il ragionamento probabilistico dall'enforcement deterministico.
2. Decomposizione delle Responsabilità: Una scomposizione strutturata dei compiti dell'AOS in ciclo di vita, scheduling, memoria, mediazione degli strumenti, policy e osservabilità.
3. Modelli di Integrazione: Un'analisi comparativa dei modelli in spazio utente, estensione del kernel e piano di controllo distribuito.
4. Mappatura Pragmatica: Percorsi di implementazione concreti per Linux e Windows utilizzando le primitive esistenti (cgroups, namespaces, token, eBPF, ETW).
5. Framework di Sicurezza: Modelli di minaccia specifici per gli agenti (prompt injection, uso improprio degli strumenti, escalation di privilegi) e principi di mitigazione deterministica (deny-by-default, scoping delle capacità, mediazione).
6. Criteri di Valutazione: Metriche focalizzate sulla correttezza dell'enforcement deterministico, completezza dell'audit, contenimento e comprensibilità operativa.

Risultati e Rivendicazioni

Il documento non presenta benchmark sperimentali o un sistema distribuito. Al contrario, presenta una proposta di architettura di sistema e un framework teorico. Il suo principale "risultato" è la dimostrazione che:

• Le astrazioni dei sistemi operativi classici sono incomplete per i carichi di lavoro degli agenti, specificamente riguardo al progresso dell'obiettivo, alla discendenza decisionale e alla gestione dinamica delle capacità.
• L'AOS può essere realizzato senza riscrivere i kernel, elevando il controllo a un piano deterministico che media tra gli agenti e le primitive del sistema operativo.
• L'enforcement deterministico è realizzabile anche con il ragionamento probabilistico, separando rigorosamente il piano di ragionamento dal piano di esecuzione e imponendo policy "deny-by-default" con capacità revocabili.

Significato e Ambito

Il documento rivendica importanza come passo fondamentale verso il rendere l'autonomia deterministica al confine. Sostiene che la sfida della ricerca non sia rendere autonomi gli agenti, ma garantire che la loro autonomia sia controllabile, responsabile e sicura.

• Modestia delle Rivendicazioni: Gli autori dichiarano esplicitamente che l'AOS non sostituisce interamente i sistemi operativi, né pretende di risolvere l'Intelligenza Artificiale Generale (AGI). Non richiede che il kernel esegua l'inferenza del modello.
• Ambito: Il lavoro si concentra sull'instaurazione di una base di sistema rigorosa per il calcolo agentico. Riconosce problemi di ricerca aperti, tra cui la teoria dello scheduling degli agenti per il progresso degli obiettivi, la verifica formale delle pipeline di enforcement e le catene di delega multi-agente.
• Contesto: Questo lavoro è stato condotto come parte del flusso di lavoro Unified Intelligent Infrastructure dell'Open Compute Project (OCP), con l'obiettivo di fornire un approccio standardizzato per eseguire agenti in modo affidabile in ambienti di produzione.