agent-os

图1：agentOS 项目 Banner

一位开发者的困境：为什么你的 AI 代理总是慢半拍？

你写了一个很棒的 AI 编程助手，打算集成到自己的后端服务里。结果一测试——冷启动 440 毫秒，每次调用都要等半天；内存占用 1GB+，跑几个并发就把服务器榨干了；沙箱环境动不动就崩溃，安全边界一团糟。

这不是你的问题。这是传统沙箱方案的固有问题：它们模拟的是一个完整的 Linux 虚拟机，启动慢、占用高、隔离粒度粗。而 agentOS（rivet-dev/agent-os）给出了一个完全不同的答案——它是一个内置于进程内的虚拟操作系统，冷启动仅 ~6 毫秒，内存只有传统沙箱的 1/8，成本降低 6-17 倍。

项目起源：Rivet 的野心与开源愿景

agentOS 由 Rivet 团队开发并开源（Apache-2.0），Rivet 同时提供商业托管版本。Rivet 最初做的是 AI 编程工具生态，发现市面上的沙箱方案（E2B、Daytona 等）虽然功能完整，但性能开销对于高频调用的编程代理场景来说完全不可接受——一个 AI 代理每小时可能需要启动成百上千个临时执行环境，毫秒级的差距会直接决定产品体验的生死。

于是团队决定从底层重新设计：不用虚拟机，用 WebAssembly + V8 isolates 构建一个进程内的微型操作系统。2026 年 3 月的基准测试数据相当震撼——agentOS 的 p50 冷启动仅 4.8ms，比 E2B 快 92 倍；单个代理实例内存 ~131MB，比 Daytona 的 1GB 基准线小了 8 倍；自托管成本最低降至 $0.0000011/秒，比商业沙箱便宜 17 倍。

核心原理：进程内的微型操作系统

agentOS 的本质是一个 JavaScript 编写的内核（kernel），运行在 Rust sidecar 之上。整个系统包含三个关键层：

1. 虚拟化内核（Kernel） 内核管理一个完整的虚拟环境：虚拟文件系统（VFS）、进程表、socket 表、管道/PTY 管理和权限系统。客户代码完全意识不到自己运行在一个虚拟机里——它以为自己在一个标准 POSIX 系统上运行。所有系统调用（文件读写、网络访问、进程创建）都经过内核的中介，没有任何一个调用会穿透到真实主机。

2. 运行时隔离层

• WebAssembly：将 GNU coreutils（sh、cat、ls、cp 等 80+ 命令）、grep、sed、awk、findutils 等 POSIX 工具编译为 WASM，在内核中运行。
• V8 isolates：JavaScript/TypeScript 代理代码运行在沙箱化的 V8 上下文中。
• Python/Pyodide（规划中）：Python 代码通过 Pyodide 在 WASM 中执行。

3. 软件包注册表（Registry） 预构建的 WASM 软件包生态，覆盖命令行工具（curl、jq、ripgrep、sqlite3）、AI 代理集成（Claude Code、Codex、OpenCode）和文件系统后端（S3、Google Drive、SQLite）。开发者可以通过 npm 安装：

npm install @rivet-dev/agent-os @rivet-dev/agent-os-common @rivet-dev/agent-os-pi

核心功能与开发者体验

会话管理（ACP 协议） agentOS 通过 Agent Communication Protocol（ACP） 创建和管理代理会话。每次对话自动持久化，无需额外代码即可回放和调试。支持跨代理转发的 Universal Transcript 格式，方便审计和对比分析。

文件系统虚拟化 VFS 层支持挂载多种后端：本地目录、S3 存储桶、Google Drive、SQLite 数据库，甚至自定义后端。AI 代理可以在这个虚拟文件系统里自由操作，就像在真实系统上一样，但所有操作都经过权限检查。

Host Tools（宿主工具） 开发者用 JavaScript 定义函数，代理在 VM 内将这些函数当作 CLI 命令调用。这意味着你可以让代理读写数据库、调用 API、执行代码构建——全部通过类型安全的宿主接口完成，没有网络跳转，没有复杂的认证流程。

安全模型 deny-by-default 权限系统，精细控制文件系统、网络、进程和环境变量的访问。代理需要什么权限，由宿主程序显式授予。V8 + WebAssembly 的隔离边界意味着即使代理被恶意指令越狱，也无法接触真实主机资源。

上手门槛：CLI 还是 SDK？

agentOS 是一个 纯 SDK，不提供 Web UI。对于有 Node.js 后端开发经验的团队，直接 npm install 后几行代码即可集成：

import { AgentOs } from "@rivet-dev/agent-os";
const vm = await AgentOs.create({ software: [common, pi] });
const { sessionId } = await vm.createSession("pi", {
  env: { ANTHROPIC_API_KEY: process.env.ANTHROPIC_API_KEY! },
});
vm.onSessionEvent(sessionId, (event) => console.log(event));
await vm.prompt(sessionId, "Write a hello world script to /home/user/hello.js");

适合有 TypeScript/Node.js 基础的开发者。对 AI 爱好者来说，需要一定的工程背景才能上手。

现有限制与争议

1. 生态成熟度：虽然开源但相对年轻，WASM 编译的命令集仍在完善中（git、make 等工具标注为 planned）。
2. 平台限制：目前主推 npm 包，Python/Rust 等其他语言的 SDK 仍在开发中，多语言支持是未来方向。
3. 适用场景边界：不适合需要真实浏览器环境或运行原生二进制的工作负载。这类场景 agentOS 建议配合 sandbox extension 使用（如 E2B、Daytona）。
4. 调试复杂度：V8 isolates + WASM 的调试链路比普通进程更复杂，需要借助 agentOS 内置的 transcript 回放工具。

行业意义：从沙箱到进程内 OS 的范式转移

agentOS 的出现代表了一个重要趋势：当 AI 代理从实验走向生产，传统的沙箱即服务模式暴露出了根本性的性能瓶颈。agentOS 用进程内虚拟化的思路，在毫秒级延迟和极低资源占用之间找到了新的平衡点。

对于 AI 应用开发者，这意味着可以在不引入外部沙箱服务的情况下，在自己的后端服务中安全运行高并发的 AI 代理任务。对于基础设施团队，agentOS 提供了一种可控的、成本可控的代理执行方案。

项目采用 Rust（核心运行时）+ TypeScript（SDK/前端）+ pnpm monorepo 的技术栈，背后是 Rivet 团队在 AI 编程工具领域的深厚积累。随着 Claude Code、Codex 等主流 AI 编程工具逐步支持 agentOS，这一进程内 OS 模式有望成为 AI 代理基础设施的新标准。