Agentao：面向嵌入式工具使用大模型智能体的策略治理运行时框架

文章背景与核心概要

随着大语言模型（LLM）智能体越来越多地作为自主执行系统运行——能够调用工具、管理本地状态、利用持久化记忆并与外部协议交互——它们也带来了巨大的安全性和可靠性挑战。诸如权限过大、提示词注入、工具投毒、审计能力弱以及副作用失控等风险变得十分普遍。

为了解决这些问题，本文推出了 Agentao，这是一个专为使用工具的 LLM 智能体设计的受治理、本地优先的运行时框架。Agentao 没有依赖形式化的安全保证，而是通过明确的运行时抽象，将模型生成的动作提议与宿主授权的执行严格分离，从而构建出更具可治理性、可检查性且适用于宿主控制的本地环境的智能体。

元数据与参考信息 (Metadata & Reference Information)

• arXiv ID: arXiv:2608.13574 (cs.AI; cs.MA)
• DOI: 10.48550/arXiv.2608.13574
• 作者: Bo Jin, Qiang Jiao, Xin Tong
• 提交历史:
• [v1] 2026年7月4日（周六）
• [v2] 2026年8月28日（周五）(当前版本)
• 源码: 在 GitHub 上开源 jin-bo/agentao

摘要 (Abstract)

LLM 智能体正日益作为执行系统运行，用于调用工具、修改本地状态、使用持久化记忆并与外部协议交互。这些能力使智能体变得实用，但也带来了与权限过大、审计能力弱、提示词注入、工具投毒和副作用失控相关的风险。

本文介绍了 Agentao，一个面向使用工具的 LLM 智能体的受治理本地优先运行时。Agentao 通过分层架构将模型生成的动作提议与宿主授权的执行隔离开来，该架构包含： * 面向宿主的表面（Host-facing surfaces） * 宿主契约（A host contract） * 运行时核心（A runtime core） * 权限介导的工具系统（A permission-mediated tool system） * 用于记忆、重放、插件、技能、子智能体和协议集成的支持子系统

作者描述了该系统的动机、威胁模型、设计目标、治理模型、执行流水线以及结构化事件接口。Agentao 并没有提供形式化的安全保证；相反，它展示了如何将权限、状态、协议边界和执行轨迹转化为显式的运行时抽象，从而构建出更易于治理、可检查且适合宿主控制的本地环境的智能体。

LLM agents increasingly operate as execution systems that invoke tools, modify local state, use persistent memory, and interact with external protocols. These capabilities make agents useful, but they also introduce risks related to over-privileged actions, weak auditability, prompt injection, tool poisoning, and uncontrolled side effects.

This paper presents Agentao, a governed local-first runtime for tool-using LLM agents. Agentao separates model-generated action proposals from host-authorized execution through a layered architecture consisting of: * Host-facing surfaces * A host contract * A runtime core * A permission-mediated tool system * Supporting subsystems for memory, replay, plugins, skills, sub-agents, and protocol integration

The authors describe the motivation, threat model, design goals, governance model, execution pipeline, and structured event interface of the system. Agentao does not provide formal safety guarantees; rather, it demonstrates how permissions, state, protocol boundaries, and execution traces can be made explicit runtime abstractions for building agents that are more governable, inspectable, and suitable for host-controlled local environments.