Resumo Técnico: Sistemas Operacionais de Agentes (AOS)

Declaração do Problema

Os sistemas operacionais (SO) tradicionais são arquitetados em torno de programas determinísticos com fluxo de controle explícito, execução limitada e fluxos de trabalho iniciados por humanos. Suas abstrações centrais — processos, threads, chamadas de sistema e permissões de arquivos — assumem padrões de interação previsíveis. No entanto, os sistemas de IA Agêntica introduzem um modelo de execução fundamentalmente diferente: entidades de vida longa, orientadas por objetivos, que raciocinam probabilisticamente, invocam ferramentas dinamicamente e adaptam o comportamento com base em feedback.

Tratar agentes meramente como aplicações de espaço de usuário cria lacunas críticas em ambientes de produção:

• Desalinhamento de Escalonamento: O progresso do agente depende de eventos externos, latências de ferramentas e restrições de orçamento, não apenas do progresso de instruções de CPU.
• Caracterização de Memória: O estado do agente estende-se além da memória heap para incluir janelas de contexto, conhecimento recuperado e metadados de proveniência com tempos de vida e requisitos de confiança distintos.
• Incompletude de Segurança: Agentes requerem permissões delimitadas para chamadas de ferramentas dinâmicas com efeitos colaterais, as quais modelos de permissão estáticos não conseguem governar adequadamente.
• Déficits de Observabilidade: Operadores carecem de linhagem de decisão (o "porquê" e o "como" das ações) e evidências de conformidade de política, dependendo em vez disso de métricas de recursos.
• Lacunas de Governança: A segurança e a aplicação de políticas devem permanecer determinísticas, mesmo quando o raciocínio subjacente é probabilístico.

A questão central de sistemas proposta é: Se os agentes se tornarem entidades computacionais de primeira classe, como deve ser o limite do sistema operacional para garantir controle, responsabilidade e segurança em escala?

Metodologia e Arquitetura

O artigo propõe o Sistema Operacional de Agentes (AOS) não como um substituto para os kernels existentes, mas como uma elevação semântica de controle que integra um plano de controle agêntico para dentro ou ao lado dos SOs tradicionais. A metodologia envolve a definição de limites precisos, a decomposição de responsabilidades e o mapeamento desses conceitos para primitivas existentes do Linux e Windows.

Definição Central e Limites

Um AOS é definido como uma camada de software de sistema que gerencia o ciclo de vida, a execução, a coordenação e a governança de agentes orientados por objetivos. Ele impõe uma separação estrita entre:

1. Plano de Raciocínio: Inferência probabilística, planejamento e seleção de estratégia (tratados como não confiáveis).
2. Plano de Execução: Invocação de ferramentas determinísticas e efeitos colaterais (impostos em ambientes de privilégio mínimo).
3. Plano de Política: Autorização, verificações de risco e controles de orçamento (imposição determinística).

A arquitetura baseia-se em uma Base de Computação Confiável (TCB) composta pelo mecanismo de política, validação de capacidade, camadas de mediação e subsistemas de auditoria. A TCB garante que saídas não determinísticas de sistemas de raciocínio não possam produzir efeitos colaterais sem atravessar caminhos de imposição determinísticos.

Componentes Arquiteturais Chave

• Gerenciador de Ciclo de Vida do Agente: Gerencia estados além dos estados de processo (ex: aguardando eventos, suspenso) e define semânticas de terminação determinísticas, incluindo revogação de tokens e fechamento de auditoria.
• Escalonador de Agentes: Otimiza para o progresso do objetivo sujeito a políticas, riscos e restrições de orçamento, em vez de apenas justiça de CPU. Ele separa recursos de raciocínio de recursos de execução para evitar o consumo ilimitado de inferência.
• Gestão de Contexto e Memória: Trata a memória como um recurso gerenciado com semânticas explícitas (contexto efêmero, memória durável, conhecimento recuperado, registros de execução). Exige construção de contexto determinística e rastreamento de proveniência para auditabilidade.
• Registro de Ferramentas e Capacidades: Funciona como um mecanismo de admissão privilegiado que vincula ferramentas descobertas dinamicamente a escopos de capacidade. Ele impõe um pipeline de mediação: validação de esquema, verificações de política/risco/orçamento, execução em sandboxes e registro de auditoria de apenas adição (append-only).
• Política e Confiança: Implementa políticas em camadas (autorização estática, restrições de capacidade, políticas de contexto/risco/governança) e estados de confiança determinísticos (normal, restrito, quarentena).

Modelos de Integração e Mapeamento de SO

O artigo avalia três modelos de integração e mapeia conceitos de AOS para primitivas de SO existentes:

1. Runtime de Espaço de Usuário: O AOS roda como serviços/bibliotecas. Oferece adoção de baixo risco e portabilidade, mas depende de controles fortes de rede/SO para evitar bypass.
2. Extensão de SO: Introduz primitivas ao nível do SO (ex: identidade de agente como um principal). Oferece imposição mais forte, mas aumenta a complexidade do kernel e a superfície de ataque.
3. Plano de Controle Distribuído: Um plano ao nível de cluster que gerencia identidade e política, delegando a execução para sandboxes de nível de nó.

Mapeamento para Linux:

• Isolamento: Utiliza namespaces, cgroups, seccomp e Controle de Acesso Obrigatório (SELinux/AppArmor).
• Escalonamento: Aproveita cgroups para cotas de CPU/memória e pools de recursos separados para raciocínio vs. execução.
• Observabilidade: Utiliza eBPF e auditd para correlacionar eventos de SO com IDs de ação do AOS.

Mapeamento para Windows:

• Isolamento: Utiliza Job Objects, Windows Containers, Hyper-V e AppContainer.
• Segurança: Aproveita tokens de acesso restritos, ACLs e Descritores de Segurança para delegação de escopo.
• Observabilidade: Correlaciona o Event Tracing for Windows (ETW) com a linhagem de decisão do agente.

Principais Contribuições

O artigo fornece as seguintes contribuições específicas:

1. Definição Precisa: Uma definição formal de AOS com limites explícitos separando o raciocínio probabilístico da imposição determinística.
2. Decomposição de Responsabilidades: Uma divisão estruturada dos deveres do AOS em ciclo de vida, escalonamento, memória, mediação de ferramentas, política e observabilidade.
3. Modelos de Integração: Uma análise comparativa de modelos de espaço de usuário, extensão de kernel e plano de controle distribuído.
4. Mapeamento Pragmático: Caminhos concretos de implementação para Linux e Windows usando primitivas existentes (cgroups, namespaces, tokens, eBPF, ETW).
5. Framework de Segurança: Modelos de ameaças específicos para agentes (injeção de prompt, uso indevido de ferramentas, escalonamento de privilégios) e princípios de mitigação determinísticos (negação por padrão, escopo de capacidade, mediação).
6. Critérios de Avaliação: Métricas focadas em correção de imposição determinística, completude de auditoria, contenção e compreensibilidade operacional.

Resultados e Alegações

O artigo não apresenta benchmarks experimentais ou um sistema implantado. Em vez disso, apresenta uma proposta de arquitetura de sistemas e um framework teórico. Seu principal "resultado" é a demonstração de que:

• Abstrações de SO clássicas são incompletas para cargas de trabalho de agentes, especificamente em relação ao progresso do objetivo, linhagem de decisão e gestão dinâmica de capacidade.
• O AOS pode ser realizado sem reescrever kernels, elevando o controle para um plano determinístico que media entre os agentes e as primitivas do SO.
• A imposição determinística é alcançável mesmo com raciocínio probabilístico, separando estritamente o plano de raciocínio do plano de execução e impondo políticas de "negação por padrão" com capacidades revogáveis.

Significância e Escopo

O artigo alega significância como um passo fundamental para tornar a autonomia determinística na fronteira. Argumenta que o desafio de pesquisa não é tornar os agentes autônomos, mas garantir que sua autonomia seja controlável, responsável e segura.

• Modéstia de Alegações: Os autores afirmam explicitamente que o AOS não substitui os sistemas operacionais integralmente, nem afirma resolver a Inteligência Artificial Geral (AGI). Ele não exige que o kernel execute a inferência do modelo.
• Escopo: O trabalho foca em estabelecer uma base de sistemas rigorosa para a computação agêntica. Reconhece problemas abertos de pesquisa, incluindo teoria de escalonamento de agentes para progresso de objetivos, verificação formal de pipelines de imposição e cadeias de delegação multi-agente.
• Contexto: Este trabalho foi conduzido como parte do fluxo de trabalho de Infraestrutura Inteligente Unificada do Open Compute Project (OCP), visando fornecer uma abordagem padronizada para executar agentes de forma confiável em ambientes de produção.