GitHub - yeet-src/agentcap：基于 eBPF 的 AI 智能体活动 Prometheus 导出器 — 监控每个智能体的工具、域名、端口、文件、CPU 及网络活动，并附带 Grafana 仪表盘。一款 yeet 服务。

📌 One-Sentence Summary

agentcap 是一款基于 eBPF 的监控工具，通过在内核层面捕获 Shell 命令、网络调用和文件 I/O，来观察和审计 AI 编程智能体。

📝 Summary

本文介绍了一种技术实现方案，用于追踪自主 AI 智能体（如 Claude Code、aider 或 Cursor）的隐藏活动，且无需修改 SDK。通过利用 eBPF（LSM hooks 和 fexit trampolines），它记录系统级事件，包括工具执行、DNS 查询、文件访问和资源消耗。该工具将这些数据暴露为充足的指标，并配有预配置的 Grafana 仪表盘，使用户能够审计智能体行为，检测意外的网络或资源使用情况。

💡 Main Points

通过 eBPF 进行内核级监控以避免插桩。

该工具使用 eBPF tracepoints、LSM hooks 和 fexit trampolines 来捕获活动，无需修改目标程序或使用特定的重型框架。

子任务进程树归属。

它在内核中使用前缀匹配 LPM trie，将子进程（如派生的 bash 或 curl 命令）归属于启动它们的具体 AI 智能体。

网络和 DNS 的安全审计。

它捕获端口 53 的 DNS 流量和 systemd-resolved varlink 消息以识别域名，但指出 DoH/DoT 在内核观测层面仍是不透明的。

高性能指标收集。

高频数据（如 CPU 时间和文件 I/O）在内核映射中聚合，而低频生命周期事件则通过环形缓冲区流式传输，以确保低开销。

💬 Key Quotes

AI 编程智能体在你的机器上运行 Shell 命令、打开文件并进行网络调用，而这些活动大多未被察觉。

agentcap 通过 eBPF 从内核记录这些活动，并将其作为每个智能体的 Prometheus 指标暴露出来，同时提供 Grafana 仪表盘。

这足以审计智能体做了什么，注意到意外的域名或端口，或跟踪随时间变化的资源使用情况。

📊 Article Meta

AI Screening： 85

Source： Hacker News - Newest: "AI Agent"

Author： r3tr0

Category： 软件编程

Language： 英文

Read Time： 9 min

Word Count： 2112

Tags：

编程与工程 , AI Agent , 可观测性 , 安全 , 开源项目