真能做事的 AI 員工。
治理它背後的每一個 Agent。

AI 員工執行與治理平台

它組織誰來做事（AI 員工），讓智慧跑在合適的 Runtime 上，把每一個動作關在工作區和權限契約裡，透過執行體在你自己的機器上執行，並把證據留下來。

• 不是模型 —— 它自己從不呼叫模型。
• 不是某一個 Agent —— 它治理你已經在用的那些 Agent。
• 不是 Runtime 啟動器 —— Runtime 只是它調度的一環，不是產品本身。
• 不是 CLI 外殼 —— CLI 是進入 KernelHub 的一扇門，不是 KernelHub。
• 不是遠端終端機 —— 沒有人往你機器裡敲字，落到機器上的只有被允許的動作。

決策、拿權限、執行 —— 一團

替你的程式碼做推理的那個行程，就是握著程式碼鑰匙的那個行程。每一次判斷失誤，都立刻變成磁碟上的變更。

問題已經變了

問題不再是「有沒有更聰明的 Agent」，而是：誰來組織工作、誰來授權、誰給環境、誰限定工作區、誰選 Runtime、誰確認工作是真的完成了。KernelHub 就是為這個存在的。

雇的是角色，不是模型

在 KernelHub 裡你雇的是一位 AI 開發者。它背後由 Runtime Router 依任務調度合適的 Runtime。員工的身分、角色、技能、工作區、權限和任務脈絡，不會因為 Runtime 換了而改變。

Agent 在你的程式碼本來所在的地方跑

一個 執行體（icloser）守著你自己機器上的工作區，驅動你本來就裝著的 CLI Runtime —— Claude Code、Codex、Antigravity（agy）等。沒有雲端沙箱，不上傳倉庫，不做原始碼映像。

六檔權限，動手之前先核

讀檔案、寫入檔案、執行、聯網、推送、刪除 / 遷移資料分開授權，按裝置、按工作區。不管哪一家 Runtime 在做事，它的寫、改、執行都要經過 KernelHub 內建的 Tool Server，先對照這些授權和工作區邊界核過再跑 —— 不是一句「請你守規矩」的提示詞。

逐行看著它幹活

任務跑著的時候你看得到證據流 —— 讀了哪些檔案、跑了哪些命令、改了哪些檔案 —— 以及帶真實 hunk 的即時 diff。改動歸到這條任務名下，同一個工作區裡別的改動不會混進來。

要你拿主意的事會來找你

任務缺一檔權限時，它會在開工前停下來掛一張卡，帶著到目前為止的 diff，以及它到底在申請什麼的逐字說明。點一次頭，同一條任務接著跑。

這家 Runtime 自己有可驗證的開關，KernelHub 把授權落到它的引數上。驗證方式是真把命令列拼出來看，不是讀它的文件。

這家 Runtime 自己沒有這一檔的開關，這一格由 KernelHub 在它程序外面加的那道 OS 外層邊界守著 —— macOS 上是 seatbelt、Linux 上是 Landlock，這兩個平台預設開啟；Windows 上這一版預設關閉，那樣的機器上這一格印成「—」。它是可選的加固層，不是做事的前提；不管這一格是什麼，寫、改、執行照樣先經 Tool Server 按你的授權和工作區邊界核過。

這臺機器上證不出有誰守住這一檔。這一家會標 NOT_READY —— 那是記帳，不是攔路：它照樣接活，每一次寫、改、執行照樣要過你的授權、工作區邊界和執行規則。

你的倉庫不會被上傳

執行發生在你的機器上。過網路的是任務原話、進度、你要看的 diff，以及核准。

任何授權都打不開的憑據路徑

憑據路徑 —— SSH 私鑰、雲配置、.env、鑰匙串 —— 以及高風險動作，與你批了什麼無關地被拒絕。你批一檔權限，這份清單一條都不會少。

「就這一次」真的只有一次

為某條任務批的權限只對那條任務、那個工作區生效，任務一進終態立刻失效 —— 靠讀時判定，不靠定時清掃。

守不住的時候，它會告訴你

當一條任務會碰到刪除 / 遷移這條邊界，而接手的 Runtime 表達不了拒絕清單時，KernelHub 會在動手之前停住，請你明確放行這一趟。點頭不批出任何一檔權限。

工作區之間不互通

任務在被下達的那個工作區裡跑。權限按裝置、按工作區記錄，沒有全域性開關。

不留一個沒人能答的提示

Runtime 通常會停下來問一個沒人在的終端。KernelHub 把那次決定搬到你手裡真的拿著的那塊螢幕上。