Riepilogo Tecnico: AgenticOS

Problematica

L'emergere di agenti autonomi guidati da Large Language Model (LLM) introduce un fondamentale disallineamento di sicurezza tra i modelli tradizionali di sistema operativo (OS) e il comportamento degli agenti. Gli OS tradizionali operano su un paradigma di "esposizione delle risorse più controllo delle autorizzazioni", esponendo primitive general-purpose (file, reti, processi, mappature di memoria, esecuzione dinamica) tramite system call in stile POSIX. Sebbene efficace per le applicazioni operate da esseri umani, dove l'intento dell'utente e la logica dell'applicazione definiscono congiuntamente i confini, questo modello fallisce per gli agenti autonomi.

Nell'era degli agenti, un utente autorizza un "intento di alto livello" (ad esempio, "riassumi i risultati del progetto"), ma il runtime dell'agente riceve spesso capacità di risorse ampie e a basso livello. Se un agente viene compromesso tramite prompt injection, avvelenamento della supply chain o output di strumenti malevoli, un attaccante può combinare queste primitive generali per eseguire comportamenti che vanno ben oltre l'autorizzazione dell'utente, come il movimento laterale, l'esfiltrazione di dati o l'instaurazione di canali occulti. Il problema centrale è che gli attuali modelli di sicurezza vincolano le risorse piuttosto che gli intenti di task, rendendo difficile prevenire la composizione di interfacce legittime in effetti malevoli esterni.

Metodologia

AgenticOS propone un cambio di paradigma da "gestore di risorse" a "filtro di intenti". Invece di consentire agli agenti di richiedere direttamente risorse a basso livello, il sistema richiede agli agenti di sottomettere Dichiarazioni di Intento strutturate (Manifest). Il sistema esegue quindi la sintesi dinamica di un ambiente a capacità minima e impone la mediazione obbligatoria, l'audit e i vincoli di flusso delle informazioni su tutti gli effetti esterni.

L'architettura si basa su quattro livelli distinti con dipendenze unidirezionali rigorose:

1. Ghost Kernel: Il nucleo minimo di fiducia (Trusted Computing Base - TCB) che opera al livello di privilegio più alto (ad esempio, VMM Root o TEE). Fornisce allocazione di memoria criptata, scheduling deterministico dei time-slice e una radice di attestazione. Fondamentalmente, non espone interfacce di system call general-purpose ai runtime degli agenti, rimuovendo strutturalmente i percorsi di escalation dei privilegi.
2. Logic Shutter: Lo strato di traduzione semantica e applicazione delle policy. Esegue il parsing dell'intento, la gestione dei token di capacità, l'etichettatura del flusso di informazioni e il logging dell'audit. Valida se un effetto esterno richiesto è conforme al Manifest dichiarato prima di autorizzare l'azione.
3. Agent Capsule: L'ambiente di runtime ristretto per il codice dell'agente. Opera secondo il principio del Manifest-Only Runtime, dove lo spazio di indirizzamento contiene solo gli stub di interfaccia (ABI) specifici generati dal Manifest. Manca di system call generali (ad esempio, exec, fork, mmap, socket) e non può accedere a flussi di byte grezzi o stack di protocolli.
4. Semantic Boundary Gateway: L'unico confine controllato tra l'Agent Capsule e il mondo esterno. Gestisce il proxying dei protocolli (SSH, TLS, HTTP), l'hosting delle credenziali e la normalizzazione dell'output. Trasforma gli intenti strutturati in effetti esterni controllati, garantendo che nessun protocollo grezzo o credenziale sia esposto all'agente.

Meccanismi Chiave:

• Intent ABI: Un'interfaccia binaria di applicazione specializzata che sostituisce le general system call con operazioni semantiche strutturate (ad esempio, FetchJSON, UploadArtifact, ModelInfer). Proibisce i flussi di byte e l'esecuzione arbitraria.
• Weaver: Uno strumento di build che genera l'ambiente Agent Capsule. Collega il codice dell'agente con librerie semantiche standard, verificando che il codice non contenga riferimenti a capacità non dichiarate o interfacce proibite. Garantisce che l'ABI generata sia coerente con il Manifest.
• Capability Tokens: Token non falsificabili emessi dal Logic Shutter che legano le capacità a specifiche identità di agenti, Manifest e catene di richieste, prevenendo attacchi di replay e il riutilizzo tra i task.
• Skill Ecosystem: Un meccanismo per introdurre nuove capacità native del sistema ("Skills"). Le nuove Skill devono superare un rigoroso processo di ammissione (sviluppo, analisi statica, test, firma) prima di essere registrate come componenti del sistema verificabili.

Contributi Chiave

Il documento delinea i seguenti contributi primari:

• Paradigma di Sicurezza Orientato all'Intento: Ricostruzione del modello di sicurezza dell'OS da permessi basati sulle risorse a filtraggio basato sugli intenti, affrontando il disallineamento tra l'autorizzazione del task e l'esposizione delle risorse.
• Architettura a Quattro Livelli: Progettazione del Ghost Kernel, del Logic Shutter, dell'Agent Capsule e del Semantic Boundary Gateway per fornire una difesa in profondità con isolamento dimostrabile.
• Intent ABI e Manifest-Only Runtime: Introduzione di un modello di interfaccia in cui gli agenti accedono solo a capacità semantiche derivate dalle dichiarazioni di task, eliminando l'accesso diretto alle risorse di sistema grezze.
• Generazione Dinamica di Capacità: Presentazione del meccanismo Weaver per la generazione di ambienti di runtime sicuri e conformi al Manifest e definizione dei principi per l'ammissione di Skill native di AgenticOS.
• Analisi della Sicurezza: Analisi dell'impatto dell'architettura sulla superficie di attacco delle system call, l'avvelenamento della supply chain, gli attacchi di composizione delle capacità e il drift dell'intento e i canali occulti.
• Definizione del Confine Ecologico: Discussione della migrazione delle capacità software dalle funzioni private dell'applicazione a oggetti di capacità del sistema, audibili e nativi.

Risultati e Analisi della Sicurezza

Il documento sostiene che AgenticOS rimuove strutturalmente le tradizionali superfici di attacco delle system call. Eliminando le general system call, i linker dinamici e gli stack di protocolli grezzi dall'Agent Capsule, i vettori di fuga tradizionali (ad esempio, exploit del kernel, escape dai container tramite driver di dispositivi) vengono resi inapplicabili.

L'analisi evidenzia diversi miglioramenti della sicurezza:

• Attacchi alla Supply-Chain e di Composizione: Imponendo l'etichettatura del flusso di informazioni e l'analisi del grafo delle interazioni degli intenti, il sistema impedisce la concatenazione di interfacce legittime in comportamenti malevoli (ad esempio, recuperare dati, riassumerli ed esfiltrarli).
• Intent Drift (Deriva dell'Intento): Il sistema mitiga il rischio che gli agenti devino dal loro intento dichiarato attraverso linguaggi specifici di dominio (DSL) ristretti, analisi statica conservativa e conferma umana obbligatoria per le operazioni ad alto rischio.
• Canali Occulti: Sebbene non teoricamente eliminabili, i canali occulti (timing, dimensione, presenza) sono compressi a rischi residui a bassa larghezza di banda e monitorabili attraverso la normalizzazione dell'output, finestre a tempo fisso e padding delle dimensioni.
• Confini di Fiducia: Il Logic Shutter e il Weaver sono protetti attraverso la decomposizione, l'implementazione in linguaggi memory-safe (ad esempio, Rust) e la verifica formale dei percorsi critici.

Significato e Rivendicazioni

Il documento posiziona AgenticOS non come un sostituto di tutte le forme applicative, ma come un'evoluzione necessaria del sistema operativo per l'era degli agenti autonomi. La sua importanza risiede nel:

1. Ridefinire il Confine dell'OS: Spostare il ruolo dell'OS da fornitore passivo di risorse a livello di governance attivo che ospita, vincola e compone le capacità applicative.
2. Colmare il Gap tra Intento e Risorsa: Risolvere la tensione fondamentale di sicurezza in cui gli utenti autorizzano task di alto livello ma i sistemi espongono primitive di basso livello.
3. Migrazione Sostenibile delle Capacità: Proporre un percorso in cui le capacità software delegabili, semanticamente astratte e audibili migrino gradualmente dalle funzioni private delle applicazioni a Skill native del sistema, revocabili.

Gli autori dichiarano esplicitamente che AgenticOS non pretende di "comprendere" completamente l'intento di un codice arbitrario (riconoscendo l'indecidibilità del problema della fermata) né di eliminare tutti i rischi. Al contrario, mira a fornire un substrato sicuro in cui il "confine di proprietà" delle capacità generali viene ridisegnato, garantendo che anche gli agenti compromessi o ingannati non possano superare i confini di capacità semantica concessi dal sistema. L'obiettivo finale è abilitare un futuro in cui le capacità del software siano dichiarabili, revisionabili e composibili all'interno di un framework di sistema operativo sicuro e guidato dall'intento.