岗位职责
研究领域： 智能安全 项目简介： 近年来，大语言模型驱动的智能体（AI Agent）正从"对话式AI"向"执行式AI"快速演进，催生了以AgentOS为代表的智能体操作系统概念。AgentOS将LLM类比为操作系统内核、上下文窗口类比为内存、持久记忆类比为存储、MCP/Tools类比为外设驱动、Skills类比为Lib库、提示词类比为交互接口、Agent类比为应用程序——形成了一套完整的"AIOS-Agent"类比体系（Mei et al., AIOS: LLM Agent Operating System, COLM 2025）。然而，当前AIOS研究主要聚焦于调度、上下文管理和资源分配等性能问题，对其安全架构的系统性研究几乎空白。 与传统操作系统面临的安全挑战相比，AgentOS的安全威胁具有本质差异：（1）确定性漏洞 vs. 概率性对抗——传统OS内核是代码逻辑错误，AIOS内核（LLM）面临语义理解偏差和对齐失效；（2）缓冲区溢出 vs. 上下文污染——传统攻击覆盖内存地址，AI攻击通过长文本注入恶意上下文；（3）未授权读取 vs. 记忆投毒——传统是文件权限绕过，AI是向量库注入错误知识；（4）驱动漏洞 vs. 工具滥用——传统攻击硬件固件，AI攻击通过Agent被诱导调用危险工具。这些差异使得传统OS安全机制（如SELinux、ASLR/DEP、DAC/MAC权限模型）无法直接迁移到AgentOS场景。 2025-2026年学术界在AgentOS安全方向取得多项关键进展：（1）沙箱逃逸研究——SANDBOXESCAPEBENCH（arXiv:2603.02277）首次量化LLM突破Docker/OCI容器沙箱的能力，发现LLM能自动发现和利用容器配置弱点实施逃逸，远超传统攻击者；（2）"脑手分离"架构——Parallax（arXiv:2604.12986）论证基于prompt的安全防护从根本上无法保证Agent安全，提出"思考者不得行动"原则：推理与执行必须在架构层面完全分离，类比OS的用户态/内核态隔离；Anthropic工程博客提出Agent架构的脑手分离原则——token永远不可从sandbox中触达，凭据存储在sandbox外的vault中；（3）访问控制模型——AC4A（arXiv:2603.20933）揭示当前Agent系统的"全有或全无"权限模型缺陷，提出首个面向LLM Agent的细粒度访问控制框架；PAuth（arXiv:2603.17170）揭示OAuth的operator-scoped授权与Agent任务语义的根本错配，提出精确任务域隐式授权；AgentBound（arXiv:2510.21236）提出首个MCP Server的访问控制框架，借鉴Android权限模型；（4）AgentOS安全架构分层——HAE框架（arXiv:2603.07496）提出分层自主演化安全架构（L1认知自主/L2执行自主/L3集体自主），为AgentOS提供分层安全体系。然而，上述研究均未系统性地将传统OS安全范式与AgentOS的语义特性结合，缺乏统一的形式化框架。 蚂蚁集团基于开源项目二次开发的TeClaw项目，已实现了一套具备原生安全能力的智能体产品。在隔离机制方面，TeClaw实现了基于自研轻量级沙箱的多用户会话隔离，支持用户文件系统、网络、进程、Shell等维度的隔离，相比Docker容器启动速度提升2个数量级，实现毫秒级沙箱启动（Docker秒级 vs TeClaw毫秒级），并在沙箱内实现了类似Linux UGO的访问控制体系，细粒度控制读/写/删除/执行/修改权限/符号链接6种操作权限。在安全审计方面，实现了基于PAC（Probe-Analysis-Control）三层模型的安全切面，覆盖6个Hook点的全链路安全事件采集与审计。此外，E2B（基于Firecracker微型虚拟机，启动~150ms）和Daytona（基于容器预热池，启动~90ms）等业界方案虽在AI代码执行沙箱领域取得进展，但均未深入AgentOS安全架构的系统化研究。 基于以上背景，本项目拟以传统操作系统安全范式为参照，系统化研究AgentOS的安全架构设计，重点突破轻量级隔离机制的形式化建模与实现，为构建原生安全的智能体操作系统奠定理论基础。
职位要求
研究领域： -目前正在攻读计算机科学或相关STEM领域的学士,硕士或博士学位 -具有一种或多种通用编程语言的经验,包括但不限于: Java,C/C ++ 、Python、JavaScript或Go -具有上述研究领域的相关经验,包括行业经验或作为参与实验室研究 优先录用： -对技术研究充满热情,具有产生新思想和创新的能力; 在自学,问题分析和解决方面表现出色 -在国际会议上或核心期刊发表一份或多份出版物或论文 -至少3个月的全职工作
