技术深度解析
Nono.sh 的架构是现代 Linux 内核安全原语的精妙融合，专为 AI 智能体运行时量身定制。其核心是 强制智能体控制（Mandatory Agent Control, MAC） 原则，强制执行一套智能体进程无法修改或绕过的严格安全策略。这有别于传统 Unix 系统的自主访问控制（DAC），在 DAC 中，进程继承其用户的权限。
该系统围绕几个关键组件构建：
1. 基于 eBPF 的运行时策略引擎： Nono.sh 利用注入内核的扩展伯克利包过滤器（eBPF）程序来监控和拦截智能体进程发出的系统调用。与用户空间监控不同，eBPF 在内核中运行，开销极小，允许实时策略执行。策略可以动态加载，并定义允许的系统调用、网络目标（IP/端口）和文件系统路径。例如，可以授予数据分析智能体对 `/datasets/` 的只读访问权限，但完全禁止其访问 `/etc/passwd` 或建立出站网络连接。
2. 安全命名空间与控制组编排： 每个智能体都在其自己独立的一组 Linux 命名空间（PID、网络、挂载、IPC、UTS）中启动。至关重要的是，挂载命名空间提供了虚拟化的文件系统视图，而网络命名空间可以配置为完全隔离或具有严格控制的虚拟接口。控制组（cgroups）v2 对 CPU、内存和 I/O 使用实施硬性限制，防止资源耗尽攻击。
3. 以工具为核心的能力模型： Nono.sh 的策略语言是工具导向的，而非授予宽泛的权限（如“互联网访问”）。策略定义了智能体工具所需的确切能力。例如，一个 `send_email` 工具被映射到特定的系统调用模式（`connect` 到 SMTP 服务器 IP，`write` 到套接字），仅此而已。这种最小权限模型在 YAML 策略文件中以声明式方式定义。
4. 完整性度量与证明： 该框架可以对智能体的初始提示词、工具定义和基础 LLM 配置进行加密哈希，以创建运行时身份。这个“智能体清单”可以在执行前进行验证，确保启动的智能体符合可信蓝图。
一个展示了类似理念的相关开源仓库是 `bunkerized-ai/agent-sandbox`（GitHub，约 1.2k star）。它结合使用 seccomp-bpf 和命名空间来沙箱化基于 Python 的智能体。虽然不如 Nono.sh 提出的架构全面，但它验证了社区向内核级隔离发展的方向。
性能开销是一个关键考量因素。来自原型实现的早期基准测试显示了一个可预测的成本。
| 安全层 | 每次工具调用的平均延迟开销 | 内存开销 | 关键限制 |
|---|---|---|---|
| 用户空间包装器 | 1-5 毫秒 | ~50 MB | 可通过子进程/FFI 绕过 |
| 容器（Docker） | 10-50 毫秒 | ~100 MB | 粒度粗，启动慢 |
| gVisor（Systrap） | 5-15 毫秒 | ~70 MB | 系统调用仿真复杂 |
| Nono.sh 模型（eBPF+NS） | 2-8 毫秒（预估） | ~20-50 MB（预估） | 策略复杂性，内核依赖 |
数据启示： 内核级模型（Nono.sh）瞄准了用户空间包装器的不安全性与完整容器的重量级之间的最佳平衡点。其预估开销对于交互式智能体使用来说足够低，如果策略引擎高度优化，则可用于生产环境。
关键参与者与案例研究
对智能体安全的推动正在创造一个新的基础设施层，参与者从不同角度应对这一问题。
内核优先阵营： Nono.sh 是最纯粹的例子，倡导一种从零开始、以内核为中心的模型。其最接近的概念竞争对手是 Google 的 gVisor，一个沙箱化容器的用户空间内核。虽然并非 AI 专用，但 gVisor 的“systrap”模式提供了强大的隔离性，可以适配用于智能体。然而，其系统调用拦截开销高于原生的 eBPF 方法。
平台集成阵营： 主要的 AI 平台提供商正在将安全性融入其智能体框架中。OpenAI 的 Assistant API 包含一个内置的工具使用系统，具有服务器端执行功能，隐式地提供了一个沙箱，但它是一个黑盒，用户控制有限。Anthropic 的 Claude 团队在宪法 AI 和机制可解释性方面发表了大量文章，专注于使智能体的推理更加对齐和可审计——这是一种互补的、以模型为中心的安全方法。
编排与中间件阵营： 像 Cognition AI（Devin 的幕后公司）和 Magic 这样的初创公司正在构建全栈智能体环境，其中安全是一项托管服务。他们的方法通常涉及在高度受限的临时云容器中运行智能体代码。LangChain 和 LlamaIndex 已经超越了简单的链式结构，开始支持智能体工作流，但它们的安全产品在很大程度上仍然