论文将LLM Agent视为操作系统并指出其默认运行在Ring-0且缺乏关键安全机制

该研究将当前具备读写文件、启动进程及加载扩展能力的LLM Agent定义为“代理即操作系统”（AaOS），指出其虽拥有操作系统的功能，却默认以宿主用户的全权（Ring-0）运行，缺失了操作系统五十年积累的保护机制。作者基于标准OS教科书构建检查清单，从产品文档、源码及文献中映射了19个子系统中的116个机制，发现仅有11个机制与OS同构，而65个关键保护机制（如特权分离、资源配额、事务处理及防篡改审计）处于缺失状态。

研究团队对Claude Code、Codex CLI和Gemini CLI进行了13项实验，覆盖25个执行文档无法定论的机制。实测显示，现有的防御措施仅能限制整个Agent或审查其扩展，无法保护内部逻辑；基于提示词编写的规则不满足Anderson参考监控标准的不可绕过、防篡改及可验证性要求。具体漏洞包括：单工具内的检查点可被Shell绕过，所有三个CLI在恢复会话时均加载伪造的转录记录，且任务控制、子Agent权限及基于模型的监控均存在弱点。

文章最终识别出五个现有OS防御无法直接迁移的问题，并列出优先解决的开放问题清单。事实层面确认了Agent在权限模型上的高风险现状；推断层面表明当前依赖提示词或外部沙箱的防御策略不足以应对复杂的Agent攻击面；猜测层面认为若不及时建立类似OS内核级的隔离与审计机制，Agent作为系统级组件的规模化部署将面临不可控的安全风险。