Agent libOS : un environnement d'exécution inspiré des OS-bibliothèques pour des agents LLM de longue durée et à capacité contrôlée

Résumé

Les agents de modèle de langage de grande taille (LLM) évoluent d’assistants question-réponse vers des acteurs logiciels de longue durée : ils conservent un état entre les appels de modèle, forquent des sous-tâches, attendent des événements externes, sollicitent une autorisation humaine, génèrent des outils, et produisent des effets de bord qui doivent être repris et audités. Cet article présente Agent libOS, un substrat d’exécution inspiré d’un système d’exploitation bibliothèque pour agents LLM. Agent libOS s’exécute au-dessus d’un système d’exploitation hôte conventionnel ; il n’implémente pas de pilotes matériels, d’isolation en mode noyau ni de système d’exploitation compatible POSIX. Il traite plutôt un agent comme un AgentProcess : un sujet d’exécution ordonnançable doté d’une identité de processus, d’une filiation parent-enfant, d’un état du cycle de vie, d’une table d’outils dérivée d’une AgentImage, d’une mémoire objet typée (Object Memory), de capacités explicites, de files d’attente humaines, de points de contrôle, d’événements et d’enregistrements d’audit. Sa règle de conception centrale est que les outils sont des wrappers de type libc ; les primitives d’exécution constituent la frontière d’autorité. L’accès au système de fichiers, l’accès aux objets, les mises en veille, l’approbation humaine, l’enregistrement d’outils JIT et les effets de bord externes sont vérifiés aux limites des primitives sous des capacités et des politiques explicites. Nous décrivons la conception, le modèle de menace, le prototype Python et l’évaluation orientée sécurité. Le prototype actuel implémente un ordonnancement asynchrone, une mémoire objet locale à l’espace de noms, une approbation humaine intégrée au runtime, des autorisations uniques par octroi, des répertoires de travail par processus, des primitives shell et d’enregistrement d’images, des outils JIT Deno/TypeScript via un courtier d’appels système libOS, des outils de pont système de fichiers/objet, un substrat injectable de fournisseur de ressources, des démonstrations déterministes, des scripts de fumée sur modèle réel, et 123 tests de régression à l’heure où nous écrivons. Plutôt que d’améliorer la précision du planificateur, Agent libOS démontre un substrat d’exécution dans lequel des agents LLM de longue durée peuvent être ordonnancés, autorisés, repris et audités sans traiter le répartition des outils comme la frontière de confiance.

English

Large language model (LLM) agents are evolving from request-response assistants into long-running software actors: they maintain state across model calls, fork subtasks, wait for external events, request human authority, generate tools, and perform side effects that must be resumed and audited. This paper presents Agent libOS, a library-OS-inspired runtime substrate for LLM agents. Agent libOS runs above a conventional host operating system; it does not implement hardware drivers, kernel-mode isolation, or a POSIX-compatible operating system. Instead, it treats an agent as an AgentProcess: a schedulable execution subject with process identity, parent-child lineage, lifecycle state, a tool table derived from an AgentImage, typed Object Memory, explicit capabilities, human queues, checkpoints, events, and audit records. Its central design rule is tools are libc-like wrappers; runtime primitives are the authority boundary. Filesystem access, object access, sleeps, human approval, JIT tool registration, and external side effects are checked at primitive boundaries under explicit capabilities and policy. We describe the design, threat model, Python prototype, and safety-oriented evaluation. The current prototype implements async scheduling, namespace-local Object Memory, runtime-integrated human approval, one-shot permission grants, per-process working directories, shell and image-registration primitives, Deno/TypeScript JIT tools over a libOS syscall broker, filesystem/object bridge tools, an injectable Resource Provider Substrate, deterministic demos, real-model smoke scripts, and 123 regression tests at the time of writing. Rather than improving planner accuracy, Agent libOS demonstrates a runtime substrate in which long-running LLM agents can be scheduled, authorized, resumed, and audited without treating tool dispatch as the trust boundary.