给智能体上锁：NVIDIA把安全筑牢在硅片上

       Gartner的一组预测，如今读起来像一句警告。

       到2026年底，40%的企业应用将内嵌任务型AI智能体，而一年前这个数字还不到5%。Gartner 2026年智能体AI技术成熟度曲线调查显示，真正部署了智能体的组织只有17%，但超过60%预计两年内跟上，是这轮调查所有新兴技术中最激进的采纳曲线。

       硬币的另一面同样来自Gartner：到2027年，40%的企业将因为在生产事故中暴露的治理缺口，不得不降级甚至退役已经上线的自主智能体；Gartner甚至断言，对所有智能体不加区分地套用同一套管控，本身就会导致失败。

       这透露出一个尴尬的现实：智能体正在以有史以来最快的速度涌入企业，而企业手里那套安全工具，大概率管不住它们。

       日前，NVIDIA给出了自己的答案：开放智能体安全平台（NVIDIA Open Agent Safety Platform）。它由开源的OpenShell运行时软件和Sentry参考设计组成，前者管边界，后者管看门，一软一硬，不再指望智能体“自觉听话”，而是直接用系统架构把它管住。
01 三道旧锁，锁不住新工种

       本次发布内容的第一部分，与其说是新品推介，不如说是对行业现状的复盘。

       传统沙箱不是为长时运行的智能体造的。沙箱能隔离一段代码，但智能体是持续决策、持续调用工具、持续联网的“长跑者”。模糊的用户指令可能诱使它越权行动，获批的外部访问通道也可能变成数据外流的出口。

       更麻烦的是智能体的“驾驶舱”，也就是各类Harness编排框架（如Claude、Codex、Hermes）。这类框架运行在标准操作系统之上，缺少面向智能体的专属控制能力：智能体动作没有完整留痕，敏感数据与访问凭据可能流向未授权目标，不同智能体之间的边界也十分模糊。

       运营层面同样面临压力。传统SIEM系统对智能体存在监控盲区，存在日志记录不全、响应滞后等问题。NVIDIA点破问题要害：近期多起安全事件呈现相同模式——智能体为完成分配的任务，绕过应用层安全管控执行操作。

02 软件先定边界

       OpenShell是这套体系的地基，一款开源的安全运行时软件。

       它的思路很直接：把特权控制层从标准操作系统里抽出来，单独架在智能体和系统资源之间。所有文件系统访问、网络访问都要过这道闸；每个智能体在显式策略下运行，所有动作被完整追踪，且智能体自己够不着、也改不了控制层——这是它与普通沙箱的本质区别：不是“圈一块地”，而是“派一个监考老师”。

       性能与开放性是两大核心亮点。OpenShell可在NVIDIA Vera CPU上低开销运行，Vera被定义为首款面向代理式AI设计的CPU；同时该软件开源，可扩展至Arm、Intel等第三方平台。开发者现已可在NVIDIA开发者页面与GitHub获取该软件。此次开源意义扎实：生态联盟的凝聚力，首先取决于代码是否可以真正落地使用。

03 硅片里的看门狗

       Sentry负责另一半：运行在NVIDIA BlueField-4 DPU上的带外监控器。

       “带外”是理解它的钥匙。Sentry运行在智能体环境之外、一个隔离的信任域里，对智能体和攻击者都不可见。它基于NVIDIA DOCA软件构建，能检查智能体的请求与响应、出具经过认证的遥测数据、验证智能体身份，并对数据、工具、API和服务执行精细化的零信任访问策略。

       一旦智能体试图越出软件边界，Sentry在芯片内直接执行隔离，数毫秒内就能将其掐停。而“毫秒级”之所以可能，恰恰因为动作发生在DPU硅片里，不依赖主机上任何可能被智能体染指的软件栈。

       一个允许，一个终止，这两层合起来才是完整的叙事：OpenShell让“该做的”被确定性放行，Sentry让“越界的”被确定性中止。

04 盟友名单的分量

       值得关注的还有本次发布公布的合作生态名单。

       Anthropic被放在了显眼的位置，Claude Managed Agents把智能体循环部署在独立服务器、与执行任务的环境相隔离，再与OpenShell和BlueField集成，企业便可借沙盒对智能体访问实施严格管控。Anthropic首席商务官Paul Smith的话说得很直白——企业把关键工作交给智能体，就需要指导和验证。

       SpaceXAI正把该平台用于Cursor编程智能体和Grok模型，其总裁Mike Nicolls的判断颇具代表性：安全要靠模型之外、智能体无法绕过的管控来落实，客户应当能设限，并且确信限制有效。Scale AI则把平台参考设计集成进自己的智能体基础设施层，Salesforce已把OpenShell接进Slack——团队可以直接在聊天里查看智能体活动、审批或驳回额外的权限请求；SAP把OpenShell嵌进Joule Studio运行时，还反过来贡献工程代码。

       名单还在继续拉长：机器人领域的Figure、Gecko Robotics、Skild AI；金融行业的花旗、摩根大通；能源与关键基础设施领域的日立能源、EPRI、施耐德电气、西门子能源等；操作系统阵营的Canonical、SUSE、红帽——红帽直接在与NVIDIA共同研发的企业级AI方案上运行OpenShell和DOCA；再加上戴尔、HPE、联想、微软、Oracle云、Supermicro等基础设施厂商。组织架构上，这些贡献汇入由NVIDIA与120多家组织发起、Linux基金会治理的开放安全AI联盟，并通过“共享AI发现交换”（SAFE）项目沉淀攻防实践。

05 落地之后的三道考题

       纸上蓝图再完整，也要落到生产环境中才算数。

       先说范式。把策略执行塞进特权控制层和DPU硅片，等于宣告AI安全的重心从模型对齐转向运行时控制。对会动手、会联网、会持有凭据的智能体而言，“善良”不如“不可绕过”。Gartner今年明确提出，治理要与智能体的自主级别和访问范围成比例，恰好与OpenShell“每个智能体一条显式策略”的做法暗合——方向是对的，但方向正确并不代表就能够取得成功。

       再说商业。OpenShell开源、跨平台，完整的性能体验却锚定在Vera CPU与BlueField-4 DPU上。安全成了硬件代际的新特点，这与当年以CUDA反哺GPU销售的逻辑一脉相承。

       最后说验证。目前，许多产品和功能仍处于不同阶段。OpenShell已可用，Sentry的完整能力则仍需时间检验；而“在硅片中监控智能体”涉及企业最敏感的行为可见性——带外信任域对攻击者隐身，同样也对企业自身的审计、合规与跨云可移植性提出了新命题。

结语

       把视角拉高，这次发布的本质，是为“智能体经济”铺设安全地基。控制平面必须与执行平面同样坚硬，智能体才敢从演示走进生产。

       NVIDIA用OpenShell给出软件的确定性，用Sentry给出硬件的确定性，再用一个横跨模型、软件、操作系统与基础设施的联盟，去争取行业的确定性。黄仁勋说，只有解决AI安全问题，AI的非凡潜力才能充分释放。这句话的商业翻译或许是：谁定义了智能体的边界，谁就握住了智能体时代的入场券。