来源笔记
Context Kubernetes: Declarative Orchestration of Enterprise Knowledge for Agentic AI Systems
Agentic AIContext OrchestrationEnterprise GovernanceAccess ControlRAG Systems
摘要
本文提出 Context Kubernetes，一种面向 AI 代理使用的企业知识编排层，风格类似 Kubernetes。它关注治理、权限、新鲜度和可审计性，而不是代理本身的推理。
问题
- 企业可以让单个 AI 代理访问本地文件，但当多个代理扩展到整个组织时，就会出现协调和治理问题：哪些知识能送到哪个代理，基于什么权限，保持多新鲜，以及留下什么审计记录。
- 现有代理平台的治理层要么很弱，要么依赖厂商；面向人的标准 RBAC 也不足以完全覆盖代表用户行动的自主代理。
- 这很重要，因为陈旧、权限过高或路由不当的上下文会导致数据泄露、错误操作和企业部署失败。
方法
- 论文把组织知识当作可调度资源，并借用了 Kubernetes 的两个思路：用 YAML 清单声明期望状态，以及用 reconciliation loop 将真实状态与声明状态比对并修正偏移。
- 它定义了六个主要抽象：context units、domains、stores、endpoints、用于连接器的 Context Runtime Interface，以及按域划分的 context operators。
- 代理按意图请求知识，而不是按来源位置请求。路由器把请求解析到允许的数据源，按权限过滤，检查新鲜度，并将响应控制在 token 预算内。
- 关键治理机制是三层权限模型，代理权限必须严格小于人类用户权限。高风险操作需要带有独立因素的带外批准。
- 原型包括 Context Router、Permission Engine、连接器、reconciliation loop、审计日志、FastAPI 服务和 92 个自动化测试。
结果
- 评估包含 8 个实验：5 个正确性实验和 3 个价值实验。
- 在基于合成种子数据的 200 个基准查询上，论文比较了四种治理配置：无治理 RAG、ACL 过滤检索、RBAC 感知路由，以及完整架构。论文称每一层新增的能力都不同。
- 在 5 种攻击场景中，平坦权限拦截 0/5 次攻击，基础 RBAC 拦截 4/5 次，三层模型拦截 5/5 次。
- 没有新鲜度监控时，过期和已删除内容会被静默返回。有 reconciliation 时，过期内容在 1 ms 内被检测出来。
- 正确性测试报告了 0 次未授权上下文交付和 0 次权限不变量违反。
- TLA+ 模型检查探索了 460 万个可达状态，没有发现安全违规。论文还称，所调查的企业平台中，没有一个实现了其带外批准隔离设计。