真能干活的 AI 员工。
治理它背后的每一个 Agent。

AI 员工运行与治理平台

它组织谁来干活（AI 员工），让智能跑在合适的 Runtime 上，把每一个动作关在工作区和权限契约里，通过执行体在你自己的机器上执行，并把证据留下来。

• 不是模型 —— 它自己从不调模型。
• 不是某一个 Agent —— 它治理你已经在用的那些 Agent。
• 不是 Runtime 启动器 —— Runtime 只是它调度的一环，不是产品本身。
• 不是 CLI 外壳 —— CLI 是进入 KernelHub 的一扇门，不是 KernelHub。
• 不是远程终端 —— 没有人往你机器里敲字，落到机器上的只有被允许的动作。

决策、拿权限、执行 —— 一团

替你的代码做推理的那个进程，就是握着代码钥匙的那个进程。每一次判断失误，都立刻变成磁盘上的改动。

问题已经变了

问题不再是「有没有更聪明的 Agent」，而是：谁来组织工作、谁来授权、谁给环境、谁限定工作区、谁选 Runtime、谁确认活是真的干完了。KernelHub 就是为这个存在的。

雇的是角色，不是模型

在 KernelHub 里你雇的是一位 AI 开发者。它背后由 Runtime Router 按任务调度合适的 Runtime。员工的身份、角色、技能、工作区、权限和任务上下文，不会因为 Runtime 换了而变。

Agent 在你的代码本来所在的地方跑

一个 执行体（icloser）守着你自己机器上的工作区，驱动你本来就装着的 CLI Runtime —— Claude Code、Codex、Antigravity（agy）等。没有云端沙箱，不上传仓库，不做源码镜像。

六档权限，动手之前先核

读文件、写入文件、执行、联网、推送、删除 / 迁移数据分开授权，按设备、按工作区。不管哪一家 Runtime 在干活，它的写、改、执行都要经过 KernelHub 内建的 Tool Server，先对照这些授权和工作区边界核过再跑 —— 不是一句「请你守规矩」的提示词。

逐行看着它干活

任务跑着的时候你看得到证据流 —— 读了哪些文件、跑了哪些命令、改了哪些文件 —— 以及带真实 hunk 的实时 diff。改动归到这条任务名下，同一个工作区里别的改动不会混进来。

要你拿主意的事会来找你

任务缺一档权限时，它会在开工前停下来挂一张卡，带着到目前为止的 diff，以及它到底在申请什么的逐字说明。点一次头，同一条任务接着跑。

这家 Runtime 自己有可验证的开关，KernelHub 把授权落到它的参数上。验证方式是真把命令行拼出来看，不是读它的文档。

这家 Runtime 自己没有这一档的开关，这一格由 KernelHub 在它进程外面加的那道 OS 外层边界守着 —— macOS 上是 seatbelt、Linux 上是 Landlock，这两个平台默认打开；Windows 上这一版默认关闭，那样的机器上这一格印成「—」。它是可选的加固层，不是干活的前提；不管这一格是什么，写、改、执行照样先经 Tool Server 按你的授权和工作区边界核过。

这台机器上证不出有谁守住这一档。这一家会标 NOT_READY —— 那是记账，不是拦路：它照样接活，每一次写、改、执行照样要过你的授权、工作区边界和执行规则。

你的仓库不会被上传

执行发生在你的机器上。过网络的是任务原话、进度、你要看的 diff，以及审批。

任何授权都打不开的凭据路径

凭据路径 —— SSH 私钥、云配置、.env、钥匙串 —— 以及高风险动作，与你批了什么无关地被拒绝。你批一档权限，这份清单一条都不会少。

「就这一次」真的只有一次

为某条任务批的权限只对那条任务、那个工作区生效，任务一进终态立刻失效 —— 靠读时判定，不靠定时清扫。

守不住的时候，它会告诉你

当一条任务会碰到删除 / 迁移这条边界，而接手的 Runtime 表达不了拒绝清单时，KernelHub 会在动手之前停住，请你明确放行这一趟。点头不批出任何一档权限。

工作区之间不互通

任务在被下达的那个工作区里跑。权限按设备、按工作区记录，没有全局开关。

不留一个没人能答的提示

Runtime 通常会停下来问一个没人在的终端。KernelHub 把那次决定搬到你手里真的拿着的那块屏幕上。