LLM 是内核Harness 是操作系统Karpathy 类比详解你天天在用操作系统却没意识到 Agent 就是一台微缩的电脑。把进程调度、内存管理、系统调用、访问控制这八个字翻译成 Agent 的语言你会发现复杂的东西突然全通了。本文导航为什么是操作系统四个核心映射一次看个透映射一工具系统 系统调用映射二权限模型 访问控制映射三上下文管理 内存管理映射四多 Agent 编排 进程调度用一张表收尾从类比到工程你接下来要造什么小结下节预告上一节我们把 LLM 的四块短板摆上了解剖台没手、没眼、没记忆、没缰绳。这一节换个更爽的视角——用你每天都在用的操作系统来重新认识 Agent。Karpathy 有个特别出名的说法大模型 Agent 就像一台微缩的电脑。我当时第一反应是夸张了吧但等我真把两个系统逐项对照之后我信了。因为这套类比不是比喻着玩玩它精确到能指导工程——你按操作系统的思路去设计 Agent设计出来就是对的。不瞒你说我早期做 Agent 时架构一团糟就是因为我没意识到我其实是在写操作系统却用写普通应用的思路在写。意识错位代码全是歪的。为什么是操作系统先想清楚一件事操作系统到底解决了什么问题答案是四个字——管理资源。把 CPU、内存、磁盘、外设这些有限的硬件资源安全、高效、公平地分给一个个进程用同时不让进程互相踩踏、不让进程越权。Agent 的问题一模一样。它也有资源模型调用额度CPU/算力、上下文窗口内存、文件系统和外部 API外设、以及一个个工具调用进程。你怎么把这些资源管起来不让工具调用互相越权、不让上下文撑爆窗口、不让调用额度烧光——这就是操作系统的活。所以 Karpathy 类比不是玄学它把 Agent 的本质问题——资源编排——翻译成了你早就烂熟于心的领域。Agent 微缩操作系统传统操作系统翻译翻译翻译翻译系统调用访问控制子程序内存管理进程/线程调度工具调用权限校验器上下文窗口Agent Loop 编排四个核心映射一次看个透下面这四组映射是整套类比的骨架我画成一张总表操作系统概念Agent 对应物解决的问题课程章节系统调用syscall工具系统进程怎么安全地碰外设第9章 工具集访问控制/权限权限模型谁被允许动什么第10章 安全权限内存管理上下文引擎有限的窗口怎么装得下无限历史第11章 上下文工程进程调度多 Agent 编排多个子任务怎么协同不打架第12章 子 Agent一个个拆开讲。映射一工具系统 系统调用操作系统里用户进程不能直接碰硬件。你想读磁盘得通过系统调用read、write、open向内核申请内核检查完再去碰硬件再把结果返回给你。为什么这么设计因为直接碰硬件进程 A 可能把进程 B 的数据搞坏系统就乱了。Agent 里也一样。模型这个进程不能直接碰你的文件系统、终端、网络这就是上一节的没手。它要读文件、跑命令必须通过 Harness 提供的系统调用——也就是工具。# 操作系统进程 - syscall(read) - 内核 - 磁盘# Agent 模型 - tool(read_file) - Harness - 文件系统# 注册工具 暴露系统调用给模型tools[{type:function,function:{name:read_file,description:读取指定路径的文件内容等同于 read 系统调用,parameters:{type:object,properties:{path:{type:string}},required:[path],},}}]关键洞察工具就是受控的副作用入口。模型没有权限直接做任何事它只能点菜发 tool_callHarness 这个内核负责实际执行。这跟系统调用的设计哲学一模一样权力上收能力下放。这也是为什么第 21 节工具系统的设计内核就是注册表 执行器两层——跟内核的系统调用表如出一辙。映射二权限模型 访问控制光有系统调用还不够。内核里还有一个东西叫访问控制不同进程有不同的权限。普通进程删不了系统文件root 才能改/etc。这是安全的第一道闸。Agent 里呢如果模型能调用所有工具、访问所有路径那它跟拿到了 root 权限的恶意进程没区别——太危险了。所以 Harness 必须有一套权限模型PERMISSIONS{read_file:{paths:[/workspace/project],mode:read},write_file:{paths:[/workspace/project],mode:write},run_command:{allow:[python,pytest],deny:[rm -rf,sudo]},# 没列进来的工具模型根本调不到 → 相当于没授权}defcheck_permission(tool_name,args):iftool_namerun_command:cmdargs[command]ifany(badincmdforbadinPERMISSIONS[run_command][deny]):raisePermissionError(f命令{cmd}被权限模型拒绝)returnTrue# 通过授权才放行看到没有——默认拒绝显式放行。这跟操作系统的权限检查一模一样不在白名单里的一律拒绝。模型再聪明也翻不了你给它划的墙。这正好呼应上一节的安全哲学模型不可信但可约束约束就靠这套权限模型。映射三上下文管理 内存管理内存管理是操作系统最核心的活之一内存是有限的进程想要的内存往往比物理内存大。怎么办虚拟内存、页交换、LRU 淘汰——把有限的物理内存尽量高效地分给多个进程。Agent 的上下文窗口比如 DeepSeek 的 1M token就是物理内存。模型需要的历史信息往往远超窗口。怎么办Harness 的上下文引擎对应操作系统三大内存技术内存管理技术Agent 对应物作用虚拟内存把完整任务状态映射到窗口内让模型感觉记忆是连续的页交换滑动窗口旧的滚出新的进来保住当前焦点忘掉久远细节LRU 淘汰/压缩摘要压缩 / RAG 检索窗口不够时浓缩旧内容# 内存不够 - 页交换/压缩上下文不够 - 摘要/检索defmanage_memory(messages,window10):iflen(messages)window:returnmessages# 内存够直接用old,recentmessages[:-window],messages[-window:]summaryLLM.summarize(old)# 压缩久远页 - 摘要return[{role:system,content:f[历史]:{summary}}]recent核心思想状态永远在 Harness 侧内存管理方模型只看到被调度进窗口的那一页。谁管内存谁就拥有记忆——这句话我在上一节说过到这里你该有更深体会了。映射四多 Agent 编排 进程调度现代操作系统是多进程并发的CPU 把时间片分给多个进程让它们看起来在同时跑还要处理进程间通信IPC、避免死锁。Agent 到复杂阶段也一样。一个任务会长出多个子 Agent对应多个进程一个负责写代码一个负责跑测试一个负责找资料。谁先跑、谁后跑、结果怎么拼、互相怎么通信——这就是进程调度。IPC: 把代码交给IPC: 测试结果反馈IPC: 资料汇总访问控制共享内存主 Agent/调度器子Agent A写代码子Agent B跑测试子Agent C查文档统一权限模型上下文引擎多 Agent 有三件事必须处理件件都对应操作系统进程管理的经典问题优先级/调度顺序主 Agent 决定哪个子任务先执行CPU 调度进程间通信子 Agent 之间的结果传递要结构化IPC死锁与超时某个子 Agent 卡住了要有熔断机制死锁检测第 12 章我会带你手写一个带优先级和超时的子 Agent 调度器那会儿你回头看这里的类比会觉得当初自己怎么没早点想到。用一张表收尾把整个操作系统类比浓缩成一张翻译对照表以后你设计 Agent 卡壳了就回头查操作系统问题Agent 问题标准解法进程怎么碰外设模型怎么做事系统调用 工具注册表谁有权动什么模型能碰哪些资源访问控制 权限白名单内存不够怎么办上下文超窗口怎么办虚拟内存 摘要/检索多进程怎么协同多子任务怎么编排调度 IPC 编排器死锁/失控怎么办子 Agent 卡住怎么办超时/熔断 max_iters从类比到工程你接下来要造什么前六篇其实都在搭认知从这一节起你要开始造操作系统了。用 Karpathy 类比的眼光看你的 DeepPilot 从骨架到血肉就是一台完整的微缩操作系统第 3 章API 协议 理解 CPU 指令集模型怎么说话第 9 章工具集 实现系统调用层第 11 章上下文工程 实现内存管理器第 10 章安全权限 实现访问控制第 12 章子 Agent 实现进程调度器你不再是调 API 的你是造系统的。这句话就是第 2 章章节名的含义也是你身份升级的起点。小结Agent 微缩操作系统它和操作系统解决的是同一个问题有限资源的编排。工具系统 系统调用权力上收、能力下放模型只能点菜Harness 负责执行。权限模型 访问控制默认拒绝、显式放行模型再强也翻不了你划的墙。上下文管理 内存管理滑动窗口/摘要/检索对应页交换/LRU/压缩。多 Agent 编排 进程调度优先级、IPC、超时熔断一应俱全。下节预告认知搭建完毕下一节我直接把这台操作系统的完整剖面图摊开给你看——六层架构解剖图模型接入、工具系统、上下文引擎、安全权限、编排、可观测性一个生产级 Agent 到底由哪六层组成每一层对应课程的哪几章一次讲透。这张图就是整个课程的总纲。如果觉得本文对你有帮助欢迎点赞、收藏、关注三连本系列持续更新中80篇硬核实战关注不迷路~