一句话定义：eBPF（extended Berkeley Packet Filter，扩展的伯克利包过滤器）是一套机制，让一小段经过严格安全检查的程序，能在操作系统内核里运行，用来做可观测性、网络处理和安全监控。
要理解它，先看内核的地位：它是操作系统里权限最高的一层，管着进程调度、内存、网络和文件。想在内核里加逻辑，过去主要靠写内核模块。打个比方，内核像大楼的总配电房，内核模块相当于让你进去亲手改线路——接错一根线，整栋楼跳闸（系统崩溃、蓝屏）。eBPF 的做法是在配电房里预装一排标准化插座和保险丝：你的程序先交给“验证器”（verifier）检查，不能有死循环、不能越界读写内存、不能乱调函数；通过后，由 JIT（just-in-time，即时编译）转成本地指令，挂到某个事件点上执行。
这些事件点（hook）可以是：网络包刚到达网卡（XDP）、某个系统调用发生（tracepoint）、某个内核函数被调用（kprobe）等。程序之间以及内核态与用户态之间，通过 Map 这种键值结构共享数据。
和相邻概念的区别：
| 维度 | 内核模块 | 用户态采集 | eBPF |
|---|---|---|---|
| 视角 | 内核内部 | 只看应用自己暴露的信息 | 内核全局视角 |
| 安全性 | 出错可能拖垮系统 | 安全 | 校验后运行，不崩内核 |
| 加载方式 | 编译加载，常与内核版本绑定 | 随应用部署 | 动态挂到事件点 |
| 开销 | 视实现而定 | 往往较高 | 较低，适合常驻生产环境 |
对从业者的实际意义有三块。可观测性：不用改一行业务代码，就能知道“这个请求为什么慢”——比如一次推理请求卡在哪个系统调用、哪次网络重传上。网络：XDP 在包进入协议栈的早期就处理，常用于负载均衡和 DDoS（分布式拒绝服务）清洗。安全：可以观察进程的运行时行为，做异常检测和容器逃逸排查。
对 AI 基础设施尤其如此：训练和推理集群的瓶颈常常在网络、存储和调度上。eBPF 能在不重启任务、不改训练代码的前提下，采集全机甚至单个 Pod 的调用与流量信息。Kubernetes 生态里的 Cilium、Falco 等项目就构建在它之上。具体支持的内核版本与 API 细节，以官方文档为准。