智能體內核層級安全網關

隨著AI代理（AI agent）逐漸普及，它們透過模型上下文協定（Model Context Protocol，簡稱MCP）呼叫外部工具——包括檔案系統、網路與API——已成為標準運作模式。然而，這項看似平常的設計卻隱藏著嚴重安全隱憂：當代理的工具呼叫等同於作業系統的系統呼叫（syscall）時，當前絕大多數的安全檢查機制卻仍停留在使用者空間（userspace）層級，意味著只需十行腳本就能輕鬆繞過防護。為了解決這個結構性漏洞，研究人員Daeyeon Son提出了一項名為「Governed MCP」的核心層級工具治理閘道，試圖將工具呼叫安全從應用層提升為作業系統原生支援的能力。

這項研究的核心在於一套基於logit的安全原語（primitive）——ProbeLogits。Governed MCP將此原語嵌入作業系統核心，使其能夠在每次MCP工具呼叫時進行攔截與調度。

整個流程透過六層管線完成：首先是架構驗證（schema validation），確認工具呼叫格式正確；接著依序經過信任層級（trust tier）、速率限制（rate limit）、對抗性預過濾（adversarial pre-filter），再由ProbeLogits語義閘門（semantic gate）進行最關鍵的安全判斷，最後經憲法策略比對（constitutional policy match）並串接Blake3哈希審計鏈（audit chain）以供後續稽核。作者在自行開發的Anima OS中實現了這套架構。

Anima OS是一個以Rust語言撰寫、約28萬6千行程式碼的裸機x86-64作業系統，Governed MCP直接嵌入其核心。根據效能量測，五道非推理層加上審計附加（audit append）的總成本僅11.3微秒（µs）每次呼叫，而ProbeLogits閘門——包含一次探測提示預填充（probe-prompt prefill）與一次logit讀取——在Qwen2.5-7B、Llama-3-8B與Mistral-7B三種模型上，每次分類分別耗時332至556毫秒。相較於在同一硬體上執行的Llama Guard 3，Governed MCP的速度快了2.4到3.4倍。

為了驗證ProbeLogits層的必要性，研究進行了消融實驗（ablation study）。結果顯示，移除ProbeLogits語義閘門後，F1分數從0.789大幅滑落至0.357，降幅達0.432。這項數據明確指出，若僅仰賴手動規則構成的防火牆，完全無法達到足夠的防護效果；ProbeLogits所帶來的語義理解能力正是Governed MCP安全效能的關鍵支柱。從安全性角度來看，Governed MCP的最大突破在於改變了安全強制執行的立足點。

由於所有經由WASM至系統宿主函數（system host function）的呼叫，以及每個註冊的MCP工具，都必須通過核心閘道的仲裁，過去那種只需十行腳本就能繞過使用者空間防護的手法在架構上已不可能實現。不過，作者也坦誠指出，目前仍有一組未封閉的ring-3系統呼叫路徑未被納入閘道控管，這部分有待未來補強。除了效能與安全架構，Governed MCP也展現了良好的跨架構通用性。研究團隊在HarmBench上達到98%至99%的非版權封鎖率（non-copyright block），在XSTest上取得98.

5%至100%的不安全召回率（unsafe recall），而ToxicChat的表現則與Llama Guard 3持平。上述結果證明了ProbeLogits底層原語不依賴特定模型架構，無論是Qwen、Llama還是Mistral系列，都能維持一致的安全效能。整體而言，這項研究傳遞了一個關鍵訊息：AI代理的工具呼叫治理，不應僅被視為應用程式的責任，而應該提升為作業系統的原生功能。透過將安全檢查下沉至核心層級，Governed MCP不僅讓繞過變得不可能，也為未來AI安全基礎設施的設計提供了全新路徑。該論文目前已於arXiv上公開，版本更新至2026年7月6日，引發學術界與開源社群關注。