AI 代理拿了你的終端機權限，誰來看著它？Grith 用 syscall 層監督上線了

當開發者把 shell 權限交給 AI coding agent，資安風險從「程式碼有沒有 bug」升級成「代理能對整台機器做什麼」。新開源工具 Grith 選在 Linux syscall 層做監督，與同期的 ProofRun 一起，標誌著「代理治理工具」正從周邊議題變成基礎設施。

一個 AI coding agent 能做什麼？它能讀你的檔案、裝套件、呼叫外部 API、執行 shell 指令。換句話說，它能做的，就是一個有完整帳號權限的工程師能做的一切。問題來了:誰在看著它？

2026 年 8 月底，一個名為 Grith 的專案同時出現在 Hacker News 的兩個討論串——一則是官方部落格文〈Grith is live〉（https://grith.ai/blog/grith-is-live），一則是 GitHub 上的 Show HN 貼文（https://github.com/grith-ai/grith），標題寫得直接:「針對 Linux 上 AI coding agents 的 syscall 層級監督」。

兩個帖子、同一天、同一個定位。這個節奏本身就是訊號:代理安全這個題目，正在從會議室的風險清單，變成有人真的動手寫程式碼解決的工程問題。

關鍵發現 1:防線不放應用層，放進核心邊界

多數現有的 AI 安全工具做在應用層:攔截 prompt、過濾輸出、在 agent 框架裡加審核鉤子。Grith 的選擇不同——下沉到 Linux syscall 層。用比喻來說，應用層過濾像是大樓警衛在櫃檯問訪客來意，syscall 監督則是直接調閱監視器原始畫面:不管這個訪客（agent）嘴上說要做什麼，它實際碰了哪扇門、搬走哪個箱子，核心層的系統呼叫紀錄都攔得住。

這個定位有工程上的必然。Agent 的行為鏈會經過多層工具呼叫與程式碼生成，上層的意圖審查很容易被繞過——生成出來的程式碼執行時，做什麼是 shell 說了算。在 syscall 邊界設閘門，等於不信任任何中間層的自我描述，只認最終的系統行為。對看慣 zero trust 架構的技術長來說，這個思路不新鮮，新鮮的是它被包裝成專門服務 AI coding agent 的產品，而不是通用的沙箱或稽核工具。

關鍵發現 2:同一週出現兩件「代理治理」作品，不是巧合

Grith 不是孤例。同一個 8 月，另一個開源專案 ProofRun 也登上 Hacker News，定位是「給 AI coding agents 的本地驗證回執」（https://github.com/yebiguo/ProofRun）。一個管「代理做了什麼」（監督與攔截），一個管「代理宣稱做了什麼是否屬實」（驗證與回執）。兩者合起來，恰好覆蓋了代理信任問題的兩半。

對照另一個面向:Reddit r/vibecoding 版上，使用者仍在熱烈討論「哪個免費 AI coding agent 好用」，發文者從 OpenCode 搭配 DeepSeek 免費模型講起（https://www.reddit.com/r/vibecoding/comments/1vrrsm9/best_ai_coding_agents/）。這則討論串顯示，前線使用者的主要篩選標準還是「免費、好用」，安全幾乎不在採購清單前段。供需兩端的成熟度落差，正是這類治理工具的市場縫隙——也是它的風險:若使用者不在乎，工具再對也賣不動。

對台灣的意義:硬體島的軟體治理位階

台灣工程團隊導入 AI coding agent 的速度不慢，但治理工具多半仍停留在「程式碼審查」層級——看 agent 寫了什麼，而不是 agent 對機器做了什麼。Grith 這類 syscall 層方案提醒的是:當 agent 拿到的是整台開發機的權限，稽核單位也必須下到同一個層級才看得到全貌。對金融、半導體等高管制產業在台研發中心而言，「代理行為可歸因、可回放」遲早會進入內部控制條文，屆時先建立驗證與監督流程的團隊，導入成本最低。

三種可能的劇本

樂觀情境:agent 框架官方直接內建這類監督介面，syscall 稽核變成預設選項，觸發條件是發生一起高能見度的 agent 濫權資安事件。基準情境:Grith 與 ProofRun 這類工具維持小眾開源生態，由高度管制的企業率先採用。悲觀情境:開發者嫌麻煩、框架廠商缺乏動力，「能跑就好」的文化讓治理工具停留在展示階段——畢竟，Reddit 上的討論已經告訴我們，免費比安全更有號召力。

這個分析可能錯在哪裡？Grith 與 ProofRun 目前僅見於 Hacker News 與 GitHub 的發布資訊，實際攔截能力、效能開銷與維護活躍度都未經獨立驗證；而「syscall 監督足以涵蓋 agent 風險」本身也是假設——若風險轉向模型層的資料外洩而非系統層的濫權，這道防線的位置就得重畫。