云原生 Agent 运行框架的价值所在
内容提要
Stacklok 开源云原生 Agent 运行时 Mecatl，将 Agent 循环与客户端、执行环境、工具生态及支撑服务解耦，使其能像应用一样部署、扩展和治理。该运行时支持会话状态持久化、多客户端接入，并通过权限与审计约束工具调用。项目仍处早期，正在探索身份委托链、MCP 之外的直连工具和上下文认证等问题。
延伸解读
从桌面到云原生：架构解耦的必要性
文章指出，传统桌面 harness 将 UI、Agent 循环、沙箱、凭证存储、工具宿主和会话数据库耦合在一台机器上，适合单个开发者，但难以应对组织级的多会话、工具治理、节点故障和跨设备接续。云原生 harness 将 Agent 循环与客户端、执行环境、工具生态及支撑服务解耦，使各组件能独立部署、扩展和治理。这种设计并非简单地把桌面 harness 放进容器，而是从分布式应用的角度重新构建，让托管、暴露和安全成为架构的自然结果。
会话持久化的边界：回合级而非事务级
Mecatl 通过持久化存储和单写者协调模型保存会话状态与事件历史。当工作节点故障时，替代进程从最后持久化的回合边界恢复，但不会恢复进行中的操作，最后一次成功保存之后的工作可能丢失。因此，这是回合级持久性，而非分布式事务。对于读者而言，这意味着 Pod 驱逐不再必然导致对话终止，但也不能期望零丢失。在评估此类运行时，需明确其持久化粒度是否满足业务对中断恢复的要求。
工具治理与多客户端接入的实践含义
云原生 harness 不依赖无限制的 shell，而是通过显式目录暴露专用工具、技能和应用集成，并对每次调用施加权限、审计和执行环境边界。托管 Agent 从允许操作的目录开始，这降低了安全风险。同时，由于客户端不拥有文件系统、凭证或会话状态，同一循环可同时支撑终端、远程服务、嵌入式应用和 Kubernetes 部署。这意味着组织可以统一治理工具调用，并让 Web UI、桌面 GUI、Slack 集成等不同前端共享同一运行时。
早期项目的未决问题与参与方式
Mecatl 仍处早期，云原生 harness 更多是方向而非成熟架构。身份委托链、MCP 之外的直连工具、上下文认证等难题尚在设计草案阶段。例如，身份方案提议将 Mecatl 作为独立 SPIFFE 信任域，并在 JWT 中编码完整委托链；工具方面探索作用域资源授权和工具到服务的直接数据路径，以避免所有输入输出都经过模型上下文窗口。这些是方向而非当前承诺。读者可通过 GitHub、文档和 Discord 参与，构建客户端或反馈 TUI 问题。
Q&A
什么是云原生 Agent 运行框架？
云原生 Agent 运行框架是一种将 Agent 循环与客户端、执行环境、工具生态及支撑服务解耦的分布式系统。核心引擎负责推理、工具调度、权限、钩子和事件发射，其他组件通过显式接口交互，使 Agent 能像应用一样部署、扩展和治理。
为什么传统的桌面 Agent 框架不适合大规模部署？
传统桌面框架假设单用户、单机器、单本地文件系统，将 UI、Agent 循环、沙箱、凭证存储、工具主机和会话数据库耦合在一个长期运行的进程中。当需要运行数百个会话、治理工具调用、容忍节点故障或跨设备接续会话时，这种设计就会失效。
Mecatl 如何实现会话的持久化和故障恢复？
Mecatl 将会话状态和事件历史存储在持久化存储中，采用单写者协调模型。当工作节点故障时，替代进程从最后持久化的回合边界恢复，实现回合级持久性，而非分布式事务。这足以让 Pod 驱逐不再导致会话终止。
Mecatl 如何治理工具调用以确保安全？
Mecatl 通过显式目录暴露专用工具、技能和应用集成，每个工具都有权限、审计和执行环境边界。托管 Agent 从允许操作的目录开始，而不是拥有不受限制的 shell，从而在安全边界内运行。
Mecatl 支持哪些类型的客户端接入？
Mecatl 支持多种客户端，包括终端 TUI（mecatui）、gRPC 和 HTTP/SSE API、TypeScript SDK，以及 Web UI、桌面 GUI、Slack 集成和协作文档编辑器等。因为客户端不拥有文件系统、凭证或会话状态，同一个循环可以同时支撑这些客户端。
Mecatl 在身份认证方面提出了什么方案？
Mecatl 提议将自身作为 SPIFFE 信任域，并在 JWT 中编码完整的委托链，使接收系统在做出策略决策时能看到涉及的所有身份（用户、Agent、会话、子 Agent 等）的“调用栈”。
Mecatl 对 MCP 之外的工具有什么探索？
Mecatl 正在探索作用域资源授权（短期、可衰减的授权）和工具到服务的直接数据路径。例如，PDF 解码器可以直接在工作区文件系统上操作，而无需模型看到字节，从而避免通过 Agent 上下文窗口路由所有工具输入输出的高昂成本。
什么是上下文认证（Context attestation）？
上下文认证是指将提示视为代码，对打包的上下文进行版本化、签名、归属、分发和策略管理，就像对待供应链工件一样，并且其来源应出现在身份链中。
