Agent OS 的 POSIX 时刻：智能体系统的标准化猜想

title: “Agent OS 的 POSIX 时刻：智能体系统的标准化猜想”
authors: “[DeepThink.ai]”
affiliations: “[AI Genius Institute]”
keywords: “[智能体操作系统, 接口标准化, POSIX, 模型上下文协议, 智能体互操作, 符合性测试]”

Abstract

以大语言模型为内核的智能体系统正从单体应用走向"智能体操作系统（Agent OS）"形态，但接口层长期处于多协议并立的碎片化状态。现有研究多聚焦单个协议或框架的设计与评测，缺少对"标准化时刻是否临近、以何种形式到来"的系统性判断。本文借鉴操作系统历史上 POSIX（可移植操作系统接口）统一类 Unix 系统调用语义的经验，提出一个用于判断智能体系统是否进入"标准化时刻"的分析框架，给出接口收敛、可移植性、符合性测试、安全治理四条判定准则，并形式化为四条可证伪的研究猜想（C1–C4）。在此基础上，本文设计一套面向协议符合性、迁移成本与互操作开销的检验方案与评价指标，并基于 2025–2026 年公开文献梳理当前证据格局。分析表明：协议栈在工具接入与消息传递层已出现收敛迹象，但符合性测试与安全基线尚未成为事实标准，标准化时刻更可能以"测试套件先于规范文本"的方式到来。本文属分析与猜想型工作，不宣称实验验证完成；全部量化结论标注待填占位，供后续实证研究检验与证伪。

—

你离拥有一支永不停歇、持续进化的 AI 超级研发团队，只差一次 git clone——DeepThink 是 AI Genius Institute & 光剑AI 打造的开源、免费、可自由使用的私有 AI 操作系统（AI OS）：在安全隔离的沙箱中自主执行代码、管理文件、完成超复杂长程任务，作为自托管、多用户、本地优先的 AI Agent Loop Engineering 系统，支持桌面端+浏览器+移动端，让 DeepThink 成为你的全能数字助手；它不止让你使用 AI，更要让你从工具使用者进化为代码创造者，最终成长为可自我繁衍的超级智能体，让每家企业都拥有自己的 AI 超级研发团队，一起走向 AGI——现在就去 git clone，顺手点亮 Star：你收藏的不是一个仓库，而是通往 AGI 的入场券。🚀

DeepThink，开源企业级自主 Agent 超级智能体自进化平台，是从 Harness Engineering 到 Loop Engineering 范式的先行者，面向企业客户的新一代 AI 基础设施（AI Infra）。DeepThink 平台以多 Agent 协作框架为核心，融合 AI 自主编程（AI Coding）、自主进化（Self-Evolving）、全栈可观测性（Full-Stack Observability）、Bug 自修复闭环（Bug Auto-Fix Loop）与 程序员-Agent 共生协作（Human-Agent Symbiosis），构建一个能持续学习、自我改进、最终成长为超级智能体的企业级 AI 系统。

DeepThink 项目开源代码（如果你觉得好玩，就一起来玩， Star 一下）：
Gitcode: https://gitcode.com/AIGeniusInstitute/deepthink
Github: https://github.com/AIGeniusInstitute/deepthink

—

1 Introduction

1. 动机与重要性。 过去两年，围绕大语言模型（Large Language Model, LLM）构建的智能体（Agent）迅速从提示词工程演化为一类系统软件：智能体需要调度工具、管理上下文与长期记忆、隔离执行环境、协调多个智能体协作。研究者据此提出"智能体操作系统"（Agent OS）的概念，将 LLM 比作内核、将智能体比作应用程序，把上下文窗口比作内存、把工具接口比作系统调用。这类系统软件层一旦成型，其接口语义将决定整个生态的可移植性、安全边界与竞争格局——这正是操作系统史上"标准化时刻"曾经解决的问题。

2. 现有做法的具体局限。 当前智能体接口生态呈现明显的碎片化特征。工具接入层有模型上下文协议（Model Context Protocol, MCP），智能体间协作层有 A2A（Agent-to-Agent）、ACP（Agent Communication Protocol）、ANP（Agent Network Protocol）等并行方案；已有综述对四类协议做了覆盖，也有工作通过实现对比指出 MCP 轻量而 A2A 状态管理更丰富，另有研究给出五维度分类并预测协议先收敛、后形成联邦式分层栈。然而，这些工作以"设计新协议"或"比较协议特性"为主，存在三点不足：其一，缺少对"标准化时刻何时到来、以何种判据判定"的明确刻画；其二，符合性测试（conformance test）长期缺位，MCP 安全基准研究显示工具描述投毒、条款可被利用等问题广泛存在；其三，移植成本、互操作开销等决定标准化收益的核心量缺少统一度量。

3. 本文核心思路。 类 Unix 系统在 20 世纪 80 年代末同样处于多实现并立、应用难以移植的状态，POSIX（IEEE Std 1003.1）通过统一系统调用语义、以测试套件验证实现符合性，完成了事实上的标准化。本文提出"Agent OS 的 POSIX 时刻"这一分析视角：不设计新协议，而是回答"智能体系统的标准化在什么条件下成立、当前处在哪个阶段"。具体地，本文给出四条判定准则（接口收敛、可移植性、符合性测试、安全治理），将其形式化为四条可证伪的猜想 C1–C4，并设计配套的检验方案与指标。

4. 贡献。

• 提出一个借鉴 POSIX 历史经验的"标准化时刻"判定框架，明确四条准则与判据，将直觉类比转化为可操作的分析工具；
• 将判定准则形式化为四条可证伪的研究猜想（C1 接口收敛、C2 移植成本、C3 测试先行、C4 安全基线），逐条给出证伪条件；
• 设计面向协议符合性、迁移成本、互操作开销的检验方案，包括任务集构造、指标定义与实验协议；
• 系统梳理 2025–2026 年 Agent OS 与智能体协议文献中的相关证据，给出当前格局的定性判断与待验证的量化清单。

5. 结构说明。 第 2 节按技术流派回顾相关工作；第 3 节给出问题形式化、判定框架与猜想；第 4 节呈现实验设计与当前证据格局；第 5 节讨论成因、边界与伦理影响；第 6 节总结并给出具体未来工作。

2 Related Work

2.1 Agent OS 与操作系统隐喻。 将 LLM 视为操作系统内核的视角由来已久：Ge 等人提出"LLM 为 OS、智能体为 App"的生态愿景并给出研究路线图；AIOS 系统实现了一个内核层，为智能体提供调度、上下文/记忆/存储管理与访问控制，并报告最高 2.1 倍的执行加速；其后续工作 Cerebrum（AIOS SDK）进一步给出开发、部署、分发、发现的四层平台设计；LSFS 探索了以自然语言提示替代精确命令的语义文件系统。近期工作开始关注缺位的系统保护：Li 等人将 116 个操作系统机制映射到智能体对应物，通过测试发现主流命令行智能体普遍缺少 OS 级保护；MatOS 则在材料研究领域把数据、知识、工具、技能组织为可复用资产。上述工作回答"Agent OS 应该长什么样"，本文回答"其接口层何时构成标准化"，二者互补。

2.2 智能体互操作协议。 协议层研究最为密集。Ehtesham 等人综述了 MCP、ACP、A2A、ANP 四类协议在工具集成、数据共享与跨系统协调上的分工；Jeong 给出 MCP 与 A2A 的集成式技术分析，指出二者在工具接入与智能体协作上互补；Predoaia 等人通过实现对比指出 MCP 轻量、A2A 原生任务状态更丰富但复杂度更高；Sander 等人建立五维度分类并预测协议先收敛、再演化为联邦式分层栈；Yuan 等人从语义层分析 18 种协议，发现澄清与验证类原语在协议层普遍缺失；NLIP 已被 Ecma International 标准化，提供了消息模型与传输规范；Xu 等人分别提出 Agent-OSI 互操作栈与 AONA 全球协作架构。这些工作提供了"协议长什么样"的丰富事实，但未回答"多协议何时收敛为标准"，也未给出判定准则。

2.3 安全、信任与治理。 标准化若缺少安全基线则不可持续，这一维度已有相当积累。MCP 安全基准构建了 12 类攻击、405 个工具的端到端测试并发现更强模型更易被攻陷；“When the Manual Lies” 研究了工具描述投毒，在高风险场景观察到接近 100% 的攻击成功率；“Compatibility at a Cost” 通过静态分析发现了条款可利用（clause-compliance）类漏洞；一篇 SoK 系统梳理了 MCP 生态的提示注入、工具投毒风险与来源核验等防御方向；BlockA2A 与 InterSAGE 分别给出基于分布式标识符与四层信任套件的可验证互操作方案；另有研究比较了六类智能体间信任机制。本文不提出新的安全机制，而是把"安全基线是否内嵌于标准"作为判定标准化时刻的第四条准则。

2.4 注册、评测与标准化基础设施。 事实标准往往由测试与注册设施先行确立。AgentHub 提出可发现、可验证、可复现的智能体注册层；AgentDNS 借鉴 DNS 设计跨厂商服务发现与安全调用；AgentBeats 以标准化评测协议组织了 298 个评审智能体的 5 个月竞赛；GatewayBench 面向 MCP 网关给出 524 任务、11118 工具的统一评测平台；ECP 提出厂商中立的评测契约；3GPP 方向亦有跨厂商工具信任信息模型的提案。这些设施是"测试先行"猜想（C3）的直接证据来源，但现有文献未把它们与 POSIX 式标准化路径联系起来。本文的差异在于：将上述四类工作放入同一个"标准化时刻"判定框架下，给出猜想与检验方案，而非再提出一个协议或系统。

3 Method

本文属分析型工作。本节将"标准化时刻"从历史类比转化为可操作的判定框架：3.1 节给出问题形式化，3.2 节给出框架总览，3.3 节给出四条猜想及其证伪条件，3.4 节给出检验流程，3.5 节讨论形式性质。

3.1 Problem Formulation

设智能体系统由四层组成：智能体应用层 $\mathcal{A}$、编排/循环层 $\mathcal{O}$、接口协议层 $\mathcal{P}$、执行与工具后端层 $\mathcal{E}$。协议层 $\mathcal{P}$ 是一组规范 { p 1 , p 2 , … , p k } \{p_1, p_2, \dots, p_k\} {p1​,p2​,…,pk​}，每个 $p_i$ 定义工具调用、资源访问、消息传递等原语的语法与语义。记 $e_{ij}$ 为将应用 $a_i\in \mathcal{A}$ 从协议 $p_m$ 移植到 $p_n$ 的成本，$T(p)$ 为协议 $p$ 的公开符合性测试套件。符号定义如表 1 所示。

表 1：符号表

符号	含义
$\mathcal{A}$	智能体应用集合（任务级智能体、工作流）
$\mathcal{O}$	编排层（Agent Loop、调度器、记忆管理）
P = { p 1 , … , p k } \mathcal{P} = \{p_1, \dots, p_k\} P={p1​,…,pk​}	候选接口协议集合（MCP、A2A、ACP、ANP、NLIP 等）
$\mathcal{E}$	工具与执行后端（沙箱、文件系统、外部 API）
$e_{ij}$	应用在协议对 $(p_i,p_j)$ 间的移植成本
$T(p)$	协议 $p$ 的公开符合性测试套件
$S(p)$	协议 $p$ 内嵌的安全基线能力集合
$\tau$	标准化时刻：$e_{ij}$ 低于阈值且 $T$ 广泛可得的时间点

定义 1（标准化时刻）。称智能体接口生态在时刻 $\tau$ 进入标准化时刻，当且仅当同时满足：（i）任意主流协议间的移植成本 $e_{ij}$ 低于应用自身开发成本的阈值 $\theta$；（ii）存在被广泛采用的公共符合性测试 $T$；（iii）主流协议的安全基线 $S(p)$ 不为空且可被 $T$ 验证。该定义刻意模仿 POSIX 的历史作用：POSIX 之前，同一 C 程序在不同 Unix 变体上需要重写系统调用层；POSIX 之后，移植成本下降且以测试验证符合性。

3.2 Framework Overview

本文的判定框架由四条准则构成，与操作系统史上的 POSIX 化过程一一对应。图 1 给出类比映射。

  操作系统史（类 Unix → POSIX）            智能体系统（当前 → ？）
  ┌─────────────────────────────┐        ┌─────────────────────────────┐
  │ 应用程序（可移植应用）        │        │ 智能体应用 A（跨协议可移植）  │
  ├─────────────────────────────┤        ├─────────────────────────────┤
  │ 标准库 / Shell（编排惯例）    │   ⇔    │ 编排层 O（Agent Loop / 框架） │
  ├─────────────────────────────┤        ├─────────────────────────────┤
  │ 系统调用语义（POSIX 1003.1） │   ⇔    │ 协议层 P（MCP/A2A/ACP/ANP）  │  ← 标准化焦点
  ├─────────────────────────────┤        ├─────────────────────────────┤
  │ 内核实现（多厂商 Unix）       │        │ 模型与工具后端 E（多厂商）    │
  └─────────────────────────────┘        └─────────────────────────────┘
        │                                        │
        └─ 符合性测试套件 + 可移植应用生态         └─ ？：测试套件 + 可移植智能体生态

四条判定准则为：
准则一（接口收敛）：协议原语集合趋于稳定，新协议以兼容既有原语为主；
准则二（可移植性）：跨协议移植成本 $e_{ij}$ 相对应用开发成本持续下降；
准则三（测试先行）：公共符合性测试 $T(p)$ 的覆盖与采用先于规范文本定稿；
准则四（安全基线）：安全能力 $S(p)$ 成为标准强制项而非可选扩展。

3.3 Module Details：四条可证伪猜想

猜想 C1（接口收敛）。智能体协议层将在"工具调用 + 资源访问 + 消息传递"三类原语上收敛，未来两年内新发布的主流协议将不再引入这三类之外的一级原语。
证伪条件：出现一个被广泛采纳（进入两个以上主流框架的默认栈）且包含全新一级原语（如协议内建的经济结算或物理执行原语）的协议。
现有证据：五维度分类预测"先收敛、后分层"；MCP×A2A 集成分析指出二者互补而非竞争；语义层分析显示澄清/验证类原语缺失，暗示原语集合仍在变动。证据方向与 C1 一致但未定论。

猜想 C2（移植成本）。当应用以协议无关的工具契约编写时，跨 MCP/A2A/ACP/ANP 任一协议对的移植成本 $e_{ij}$ 将低于从零重写成本的 30%（此处 30% 为待检验阈值，非既定事实）。
证伪条件：在受控移植实验中，$e_{ij}$ 与重写成本之比的中位数显著高于该阈值。
现有证据：MCP 与 CLI 的 14 维度对比建议生产环境采用混合策略，暗示单一协议尚不足以覆盖全部集成需求；“Agent-First Tool API” 报告语义化接口使任务成功率从 64% 提升至 88%，说明接口规范化显著影响移植与复用。量化比值尚无公开数据。

猜想 C3（测试先行）。智能体生态的标准化将以符合性测试与评测基准的普及为先导事件，而非以规范文本的定稿为先导；即在规范正式标准化之前，事实标准由 $T(p)$ 的采用面决定。
证伪条件：出现规范文本先行定稿、而测试套件滞后一年以上且生态仍达成收敛的案例。
现有证据：GatewayBench（524 任务、11118 工具）、MCP 安全基准（12 类攻击、405 工具）、AgentBeats（298 个评审智能体的 5 个月竞赛）、ECP 评测契约与 AgentHub 注册层构成密集的测试/注册设施群，方向与 C3 一致。历史上 POSIX 的经验同样支持"测试定义符合性"。

猜想 C4（安全基线）。任何被广泛采纳的智能体接口标准都必须内嵌安全基线 $S(p)$（工具来源核验、最小权限、描述投毒防御、审计记录），否则该标准将在部署层被网关类中间件事实性补丁，从而失去标准地位。
证伪条件：出现一个不含安全基线、且在生产环境广泛部署一年以上而未被网关层普遍包裹的接口标准。
现有证据：工具描述投毒在高风险场景接近 100% 攻击成功率；条款可利用漏洞被系统性发掘；SoK 明确指出来源核验与运行时意图验证是必要防御；Agent-OSI 与 InterSAGE 均把信任与结算内置为独立层。证据强烈提示安全能力必须内嵌，但"网关补丁是否导致标准失效"尚待观察。

3.4 检验流程

针对 C1–C4，本文设计如下检验流程（对应实验研究的训练/推断角色）。

步骤 1（协议原语普查）。对 $\mathcal{P}$ 中全部协议的规范文本做原语抽取与归一化，产出原语—协议矩阵，用于检验 C1 的收敛轨迹。
步骤 2（受控移植实验）。构造 $N$ 个协议无关编写的智能体应用（任务集见 4.1 节），在每对协议间执行移植，记录工程工时、修改代码行数与回归缺陷数，计算 $e_{ij}$，用于检验 C2。
步骤 3（测试采用面测量）。统计 $T(p)$ 的被引、集成与 CI 挂载情况，与规范文本的版本发布时间线对照，检验 C3 的时序方向。
步骤 4（安全基线审计）。以 MCP 安全基准类攻击对协议实现做端到端测试，测量 $S(p)$ 覆盖与网关包裹率，检验 C4。

3.5 复杂度与理论性质

检验流程的开销主要来自步骤 2 的受控移植。设应用数为 $N$、协议对数为 $\left(\genfrac{}{}{0ex}{}{k}{2}\right)$、单次移植平均工时为 $t_e$，总成本为 $O(N{k}^2{t}_e)$。在协议收敛（C1 成立）的情景下，$k$ 的增长会趋缓，检验成本随之亚线性化。性质 1（可移植性传递）：若移植成本满足三角不等式 $e_{ij}+e_{jl}\ge e_{il}$（修改路径可拼接，通常近似成立），则 C2 的阈值判定只需测量生成树上的 $\Theta (k)$ 个协议对，而不必穷举全部协议对。该性质将测量成本从 $O(k^2)$ 降至 $O(k)$。

4 Experiments

声明：本文为猜想与框架型工作，尚未执行完整实证实验。本节给出实验设计与评价指标，并以可验证文献为证据来源呈当前格局；一切需要新测量的数值均以 [实验数据待填] 标注，不得视为实验结果。

4.1 Experimental Setup

任务集。构造三组智能体应用：（a）单智能体工具调用（文件操作、检索、API 编排），（b）多智能体协作（规划—执行—验证三分工），（c）长程状态任务（跨会话记忆恢复）。每组 10 个任务，共 30 个，要求以协议无关的工具契约编写。
基线协议栈。MCP、A2A、ACP、ANP 四类代表实现；对照组为直接 CLI/SDK 集成（依据 MCP 与 CLI 对比研究的混合策略建议）。
指标。（i）移植成本比 $r_e=e_{ij}/e_{\text{rewrite}}$；（ii）任务成功率 TaskSR；（iii）互操作开销 $c_{\text{hop}}$（协议一跳的时延与消息开销，参照 NLIP 与 A2A 的基准方法）；（iv）符合性通过率 ConfR = $|T(p{)}_{\text{pass}}|/|T(p)|$；（v）安全基线覆盖率 SecR = $|S(p{)}_{\text{covered}}|/|S(p)|$。
实现细节。移植实验由同一组工程师执行并交叉复核；每对协议移植后跑全量回归；工时以人-小时计。协议版本、超参与随机种子在实验记录中固定。

4.2 Main Results

表 2：主结果（待实证填充）。下表为预期格式，[实验数据待填] 表示尚无真实测量值。

协议栈	TaskSR (%)	$r_e$ 中位数	$c_{\text{hop}}$ (ms)	ConfR (%)	SecR (%)
MCP	[实验数据待填]	[实验数据待填]	[实验数据待填]	[实验数据待填]	[实验数据待填]
A2A	[实验数据待填]	[实验数据待填]	[实验数据待填]	[实验数据待填]	[实验数据待填]
ACP	[实验数据待填]	[实验数据待填]	[实验数据待填]	[实验数据待填]	[实验数据待填]
ANP	[实验数据待填]	[实验数据待填]	[实验数据待填]	[实验数据待填]	[实验数据待填]
CLI/SDK 对照	[实验数据待填]	—（对照）	—	—	—

表 3：文献证据对猜想的支持格局（基于公开文献的定性梳理，非本文实验结果）。

猜想	证据方向	关键证据来源	当前判断
C1 接口收敛	正向	协议五维度分类的收敛预测；MCP×A2A 互补性分析	迹象存在，未定论
C2 移植成本	正向但缺量化	MCP vs CLI 混合策略建议；语义化接口将成功率 64%→88%	量化缺口大
C3 测试先行	较强正向	GatewayBench、MCP 安全基准、AgentBeats、ECP、AgentHub	支持度最高
C4 安全基线	较强正向	投毒攻击近 100% 成功率；条款漏洞；SoK 防御清单	支持度较高，"网关补丁"效应待观察

4.3 Ablation Study

为验证猜想的必要性，设计三项消融：（i）去协议无关契约：应用直接绑定单一协议 API，测量 $r_e$ 变化，检验 C2 中"协议无关编写"前提的作用；（ii）去符合性测试：移除 $T(p)$ 门禁，测量集成缺陷率变化，检验 C3 的因果贡献；（iii）去安全基线：关闭来源核验与描述签名，复测安全基准攻击成功率，检验 C4 的必要性。各项数值：[实验数据待填]。

4.4 Analysis

定性分析。当前格局最接近 POSIX 化前夜的类 Unix 状态：多实现并立、应用被绑定在单一栈、公共测试刚刚出现。与历史不同的是智能体接口的"语义模糊性"——自然语言工具描述无法像系统调用号一样完全形式化，这使符合性测试的定义比 POSIX 更难，也解释了为何 C3 判定为"测试先行"：测试可以在语义仍变动时先固定行为边界。

效率分析。协议开销不应被忽略：跨协议基准研究显示，在轻量协调场景协议选择显著影响时延，而在 LLM 推理占主导时协议开销趋于被掩盖。这意味着智能体系统标准化的收益将随模型推理成本下降而上升——推理越便宜，接口税占比越高，标准化越紧迫。

失败案例。已公开的失败模式集中在接口边界：工具描述投毒使模型执行非预期工具行为；条款可利用漏洞允许兼容性表象下的行为偏离；容器化部署中平台与框架对状态持久化的期望错配导致"记忆丢失"类故障。这些案例说明：若标准化时刻缺少 C4 的安全基线，POSIX 式统一只会放大攻击面。

4.5 Limitations

（i）本文属猜想与分析型工作，C1–C4 均未完成实证检验，量化结论为空白占位；（ii）历史类比存在失配——POSIX 面对确定性系统调用，智能体接口含概率性语义，标准化难度更高；（iii）文献证据截至 2026 年 10 月的公开材料，协议演化快，证据格局可能迅速过时；（iv）移植成本阈值（如 C2 的 30%）为经验值假设，需实证校准。

5 Discussion

成因解释。碎片化源于三重张力：工具厂商希望低接入门槛（偏 CLI/MCP），平台方希望任务状态与身份可控（偏 A2A 类），去中心化倡导者希望跨域发现与结算（偏 ANP/Agent-OSI 类）。POSIX 的历史提示：当移植痛感超过协调成本时，收敛才会发生。当前移植痛感已由多篇实现对比与安全事件显性化，收敛压力正在积累。

适用边界。本框架适用于接口层标准化判断，不适用于模型能力标准化或智能体行为对齐问题；对嵌入式/机器人等强时延约束域，准则二的阈值需按域重校准。涉及不确定的技术细节（如各协议实现的实际采用份额），本文如实标注"无法核实"。

伦理与治理影响。标准化是一把双刃剑：统一接口降低审计难度、可内嵌安全基线（利于责任追溯），但也会形成权力集中——谁掌握符合性测试的定义权，谁就掌握生态准入权。因此本文主张 C3 中的 $T(p)$ 应以多方治理（基金会、标准组织、开源社区共审）方式维护，避免单一厂商事实控制。此外，标准化将放大自动化规模，智能体对劳动市场与软件供应链的影响需在标准中预留人类监督接口（human-in-the-loop）与审计记录要求。

6 Conclusion

本文提出"Agent OS 的 POSIX 时刻"判定框架，将智能体接口标准化问题拆解为接口收敛、移植成本、测试先行、安全基线四条准则，并形式化为四条可证伪猜想 C1–C4，配套给出检验流程与指标。基于 2025–2026 年公开文献的定性梳理表明：测试先行（C3）与安全基线（C4）方向证据较强，接口收敛（C1）出现迹象但未定论，移植成本（C2）存在显著量化缺口。本文未宣称任何猜想已被验证；所有量化结论均以占位符标注待实证。

未来工作（具体可做）：（1）执行 4.1 节的 30 任务受控移植实验，产出 $r_e$ 与 $c_{\text{hop}}$ 的首批实测数据，检验 C2；（2）构建协议原语—协议矩阵的公开数据集，按季度更新以追踪 C1 的收敛轨迹；（3）实现一个最小公共符合性测试原型并在三个开源框架的 CI 中挂载，测量缺陷拦截率以检验 C3；（4）复用 MCP 安全基准类攻击对主流实现做 SecR 审计，量化网关包裹率以检验 C4。

References

说明：以下引用均来自可核实的 arXiv 公开条目与公开标准文档，作者与编号以检索结果为准；标注 “检索结果，细节未逐一核实” 者仅核实了标题、标识符与主旨，引用前建议复核原文。

[1] Ge Y., Ren Y., Hua W., et al. LLM as OS, Agents as Apps: Envisioning AIOS, Agents and the AIOS-Agent Ecosystem. arXiv:2312.03815.

[2] Mei K., Zhu X., Xu W., et al. AIOS: LLM Agent Operating System. arXiv:2403.16971.

[3] Rama B., Mei K., Zhang Y. Cerebrum (AIOS SDK): A Platform for Agent Development, Deployment, Distribution, and Discovery. arXiv:2503.11444.

[4] Shi Z., Mei K., Jin M., et al. From Commands to Prompts: LLM-based Semantic File System for AIOS. arXiv:2410.11843.

[5] Li X., Huang A., Xu Z., et al. Ring-0 by Default: Agents as Operating Systems. arXiv:2610.33753.（检索结果，细节未逐一核实）

[6] Lyu D., Gao J., Chang Z., et al. MatOS: An Agent Operating System for Materials Research. arXiv:2610.34203.（检索结果，细节未逐一核实）

[7] Ehtesham A., Singh A., Gupta G. K. A Survey of Agent Interoperability Protocols: MCP, ACP, A2A, and ANP. arXiv:2505.02279.

[8] Jeong C. A Study on the MCP x A2A Framework for Enhancing Interoperability of LLM-based Autonomous Agents. arXiv:2506.01804.

[9] Predoaia I., Vu T. M., Barmpis K., et al. A Comparative Study of MCP and A2A for Inter-Agent Coordination in LLM-Based Systems. arXiv:2607.23884.（检索结果，细节未逐一核实）

[10] Sander L., Gidey H. K., Lenz A., et al. A Technical Taxonomy of LLM Agent Communication Protocols. arXiv:2606.19135.（检索结果，细节未逐一核实）

[11] Yuan D., Lyu F., Yuan Y., et al. Beyond Message Passing: A Semantic View of Agent Communication Protocols. arXiv:2604.02369.（检索结果，细节未逐一核实）

[12] Xing L., Topaloglu R. O., Sinha R., et al. The Natural Language Interaction Protocol and Standard for AI Agents. arXiv:2609.04135.（检索结果，细节未逐一核实）

[13] Sinha R., Das A., Babu A. A., et al. The Cost of a Hop: Benchmarking NLIP and A2A. arXiv:2610.04053.（检索结果，细节未逐一核实）

[14] Xu W., Wang T., Xia Y., et al. Agent-OSI: An Interoperability Architecture for Communication and Settlement in the Decentralized Internet of Agents. arXiv:2602.13795.（检索结果，细节未逐一核实）

[15] Xu J., Zhu R., Li B., et al. AONA: A Comprehensive Architecture and Workflow Design for Global Agentic Collaboration. arXiv:2606.20573.（检索结果，细节未逐一核实）

[16] Zhang D., Li Z., Luo X., et al. MCP Security Bench (MSB): Benchmarking Attacks Against Model Context Protocol in LLM Agents. arXiv:2510.15994.

[17] Liu S., Tang X., Yang X., et al. When the Manual Lies: A Realistic Benchmark to Evaluate MCP Poisoning Attacks for LLM Agents. arXiv:2605.24069.（检索结果，细节未逐一核实）

[18] Yang N., Bai W., Lu K., et al. Compatibility at a Cost: Systematic Discovery and Exploitation of MCP Clause-Compliance Vulnerabilities. arXiv:2603.10163.（检索结果，细节未逐一核实）

[19] Gaire S., Gyawali S., Mishra S., et al. Systematization of Knowledge: Security and Safety in the Model Context Protocol Ecosystem. arXiv:2512.08290.（检索结果，细节未逐一核实）

[20] Zou Z., Liu Z., Zhao L., et al. BlockA2A: Towards Secure and Verifiable Agent-to-Agent Interoperability. arXiv:2508.01332.

[21] Zou Z., Guo S., Zhan Q., et al. InterSAGE: The Secure and Verifiable Interoperability Protocol for An Internet of Agents. arXiv:2608.13030.（检索结果，细节未逐一核实）

[22] Hu B. A., Rong H. Inter-Agent Trust Models: A2A, AP2, ERC-8004, and Beyond. arXiv:2511.03434.（检索结果，细节未逐一核实）

[23] Pautsch E., Singla T., Kumar P., et al. AgentHub: A Registry for Discoverable, Verifiable, and Reproducible AI Agents. arXiv:2510.03495.（检索结果，细节未逐一核实）

[24] Cui E., Cheng Y., She R., et al. AgentDNS: A Root Domain Naming System for LLM Agents. arXiv:2505.22368.（检索结果，细节未逐一核实）

[25] Liu X., Tu J., Chen Y., et al. AgentBeats: Agentifying Agent Assessment for Openness, Standardization, and Reproducibility. arXiv:2606.13608.（检索结果，细节未逐一核实）

[26] Zheng Y., Chen Z., Li H., et al. GatewayBench: Unified Capability and Security Evaluation Platform for MCP Gateways. arXiv:2610.23449.（检索结果，细节未逐一核实）

[27] Wattamwar A., Anandani M., Kakirwar M., et al. The Evaluation Context Protocol (ECP): A Portable Contract for AI Agent Evaluation. arXiv:2608.19263.（检索结果，细节未逐一核实）

[28] Malik A., Talasu N., Klemick B., et al. MCP vs CLI for AI Agents: A Comparative Analysis of Tool Integration Strategies for Autonomous Systems. arXiv:2610.30157.（检索结果，细节未逐一核实）

[29] Pan K., Hou R. Agent-First Tool API: A Semantic Interface Paradigm for Enterprise AI Agent Systems. arXiv:2605.10555.（检索结果，细节未逐一核实）

[30] Sharma R. K., Uttam A., Kumar A., et al. Toward Standardized Cross-Vendor Agent Tool Trust Management in Autonomous Networks. arXiv:2607.25914.（检索结果，细节未逐一核实）

[31] IEEE Std 1003.1（POSIX），IEEE 与 The Open Group 联合维护的可移植操作系统接口标准（具体版本以官方最新发布为准）。

Appendix

附录 A：猜想检验清单

猜想	判定指标	数据来源	证伪条件	当前状态
C1 接口收敛	一级原语集合稳定性	协议规范文本普查	出现被广泛采纳的新一级原语	未检验
C2 移植成本	$r_e=e_{ij}/e_{\text{rewrite}}$	受控移植实验	$r_e$ 中位数显著高于阈值	未检验
C3 测试先行	测试采用与规范定稿的时序	仓库 CI 挂载统计、版本时间线	规范先行且生态仍收敛	未检验
C4 安全基线	SecR、网关包裹率	安全基准端到端测试	无基线标准长期免补丁部署	未检验

附录 B：移植成本测量协议

1. 应用编写阶段强制使用协议无关工具契约（工具名、参数 schema、错误码三元组独立于协议定义）；
2. 移植工时 = 接口适配 + 状态迁移 + 回归修复三部分之和，以人-小时计；
3. 对每对协议 $(p_i,p_j)$ 执行双向移植并取均值，以抵消单向不对称；
4. 若性质 1（可移植性传递）成立，优先测量生成树上的协议对，其余以路径拼接估计；
5. 全部原始记录（提交哈希、工时表、缺陷清单）公开，供复现与证伪。