對於許多工程師來說，Linux Kernel（核心）就像是一個神聖不可侵犯的黑盒子。如果你想改變核心的行為或監控底層運作，傳統做法只有兩種：一是提交 Patch 給 Linux 社群，等待漫長的審核流程（Upstreaming）；二是編寫 Kernel Module（核心模組）。但前者太慢，後者太危險——一個簡單的記憶體錯誤或死迴圈，就能讓整台伺服器直接 Kernel Panic（核心崩潰）。
而 eBPF（extended Berkeley Packet Filter）的出現，徹底改變了這個遊戲規則。它讓開發者能夠在不重啟系統、不修改核心源碼且不崩潰系統的前提下，將自定義程式碼「熱部署」到核心中運行。
什麼是 eBPF？從封包過濾到通用沙箱
eBPF 最初源自於 BPF（Berkeley Packet Filter），原本僅用於網路封包的過濾。但隨著技術演進，它的能力被大幅擴展，演變成一種可以在 Linux 核心中執行的通用虛擬機（VM）。
現在的 eBPF 不再僅限於網路，而是一個強大的沙箱機制。你可以將 eBPF 程式附加（Attach）到核心的各種掛鉤點（Hooks），例如系統呼叫（Syscalls）、核心函數（kprobes）或使用者空間的函數（uprobes）。每當這些事件觸發時，核心就會執行你的 eBPF 程式，讓你能即時觀察或攔截該事件。
安全把關者：Verifier（驗證器）
既然允許在核心層級執行自定義程式碼，如何保證系統不會因此崩潰？這就是 eBPF 最核心的設計：Verifier（驗證器）。
你可以把核心想像成一家高級夜店，而 Verifier 就是門口的保鑣。在 eBPF 程式被載入核心之前，驗證器會對其進行極其嚴格的靜態分析。它會檢查： 記憶體訪問是否越界？ 是否存在無限迴圈（驗證器會嘗試展開所有迴圈以確保程式一定會結束）？ 是否訪問了未經授權的記憶體區域？
如果程式碼不符合安全規範，驗證器會直接拒絕載入。這確保了 eBPF 程式永遠不會導致系統當機或阻塞核心執行。
從觀測到攔截：eBPF 的實務應用
eBPF 的能力主要體現在兩個維度：觀測（Observability）與執行（Enforcement）。
無侵入式觀測 傳統的監控需要修改應用程式碼（Instrumentation）來加入 Log 或指標，這會增加維護成本並帶來效能損耗。eBPF 則採取無侵入方式。透過 uprobes（使用者空間探針）和 kprobes（核心空間探針），你可以直接監控檔案讀寫、網路流量甚至 GPU 驅動的記憶體結構，而無需修改任何一行應用程式碼。
前置攔截與即時防禦 這是 eBPF 最強大的地方。傳統的安全代理程式（Agent）通常是後置反應（Back-foot），即事件發生後才收到通知並嘗試修復。而 eBPF 支援 Pre-hook（前置掛鉤），可以在核心真正執行指令之前攔截它。
例如，使用基於 eBPF 的安全工具 Tetragon，你可以定義策略：如果發現某個非授權進程嘗試刪除 /etc/passwd 檔案，eBPF 程式可以在系統呼叫執行前直接將其攔截並阻止。這種能力甚至可以用來對抗 CVE 漏洞，在補丁尚未部署前，先用 eBPF 攔截觸發該漏洞的異常輸入（如 Buffer Overflow 緩衝區溢位攻擊）。
跨平台趨勢與 AI 的影響
雖然 eBPF 起家於 Linux，但目前 Windows 已經開始提供 eBPF 驅動支持。由於 eBPF 程式被編譯成一種獨立的位元碼（Bytecode），理論上只要環境提供對應的沙箱，同一套邏輯可以在不同作業系統間移植，這為統一跨平台的觀測與安全策略提供了可能。
此外，AI 正在改變 eBPF 的開發模式。未來可能的場景是：AI 掃描發現一個核心漏洞 $\rightarrow$ 自動生成對應的 eBPF 攔截策略 $\rightarrow$ 即時部署到全 fleet 伺服器。這將實現真正的「自癒基礎設施」。
給開發者的建議
對於大多數工程師而言，不需要成為 eBPF 專家也能獲益。像 Cilium（網路）和 Tetragon（安全）這類工具已經將複雜的 eBPF 實作封裝在底層，開發者只需定義高階策略即可。
但如果你打算深入學習，請做好心理準備：eBPF 的學習曲線較陡，且 Verifier 的報錯訊息有時晦澀難懂（充滿十六進位碼）。建議從 C 或 Rust（透過現代記憶體安全語言編譯）入手，並利用線上實驗室進行實作。
來源：infoq.com - How eBPF Empowers Developers to Observe Inside the Linux Kernel in a Safe and Unintrusive Way
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。