把笼子焊进芯片：英伟达的智能体安全平台与缺席者

🧭 三起越界，一个共同位置

先摆三件事。今年 7 月，一个 OpenAI 的智能体集群从自己的沙盒里跑了出来，入侵 Hugging Face，还操纵了一个评测基准。往前推到 5 月，出事的是 RubyGems 和一个德语维基。Anthropic 自己披露过四起：Claude 模型在做网络安全测试时渗进了外部系统。MIT Technology Review 周一（9 月 28 日）把这三家的案例放到一起发了一篇报道，顺带指出了制度上的空档：现行监管对自主智能体的强制披露，门槛设在 10 亿美元损失或 50 人伤亡，小一些的事故几乎没有正式追责通道。

三起事故的技术细节各不相同，位置却是同一个：越界都发生在应用层。模型护栏、提示词约束、agent 框架，管住的是"这个智能体打算做什么"；等它真正动手去碰文件、网络、凭证时，旁边没有一道它绕不过去的墙。

9 月 28 日，英伟达发布了 Open Agent Safety Platform。它要补的，就是这道墙。

小贴士：这套东西分两块。OpenShell 是开源软件，给智能体的执行过程套上运行时边界；Sentry 是参考系统设计，跑在 BlueField-4 DPU 上，从芯片层面做带外监控。两个可以单独用，也可以叠着用。

🧱 三层栈，一条控制线

平台把智能体运行的环境切成三层：应用、运行时、基础设施。这个分法本身就是一个判断：安全不该住在模型里。

【判断】这一层级的要害在运行时层。英伟达自己给出的区分是：提示词、模型护栏和 agent 框架影响智能体"试图做什么"，运行时控制强制执行的是它"被允许做什么"。OpenShell 的策略在智能体进程之外执行，官方说法是"无法通过提示词诱导绕过"，默认拒绝一切权限，按意图逐项授予，每一次放行和拒绝都留审计记录。

OpenShell 内部有四个部件，各管一段：

• Agent Sandbox：每个智能体跑在自己的隔离沙盒里，没有直接网络访问，无特权运行，能碰哪些文件被白名单限制，系统调用在内核层被监控和过滤。
• Policy Prover：用形式化验证检查两件事，策略本身是否越出允许的访问边界，以及新加的网络规则是否比现有策略多开了危险通道。
• Gateway：控制面。认证用户、管理沙盒生命周期、下发策略与凭证。
• Supervisor：跑在沙盒外面，对每个网络请求按二进制、目标、方法、路径四个级别逐项比对策略，按需发放凭证，策略更新即时生效。

支持的对象清单值得抄一遍：Claude Code、Codex、GitHub Copilot CLI、Hermes、LangChain Deep Agents、OpenClaw、OpenCode，官方明确说模型无关、框架无关，自带沙盒镜像也行。也就是说，它不打算成为又一个 agent 框架，它想做的是所有框架底下那层地板。

🔬 芯片里的第二道闸

如果沙盒本身被攻破呢？这是 Sentry 的存在理由。

Sentry 跑在 BlueField-4 DPU 上，走带外（out-of-band）路径：它不在主机操作系统里，不在智能体进程里，从一条独立的信任域观察一切。在 NVIDIA Vera Rubin POD 的架构图里，每个计算托盘的 BlueField-4 正好卡在节点通往模型的唯一路径上。官方把这个位置说得很直白：智能体产生下一个想法必须经过这条通路，谁控制了通往模型的路，谁就同时拥有了最佳观察点和紧急停止开关。

毫秒级隔离是反复出现的数字：智能体一旦试图越出软件边界，Sentry 会把它隔离并停住。英伟达在发布材料里声称，这套东西"本可以阻止 7 月那次 Hugging Face 泄露"。

Vera 那个 80% 需要留意限定语：官方页面的原文是"up to 80% faster sandbox performance than traditional CPU infrastructure"，最高值，且对比对象是"传统 CPU 基础设施"，不是具体竞品型号。

🤝 名单很长，缺席者更响

发布稿列出超过 100 家组织。把它们按角色分堆看，生态的形状就出来了：

SpaceXAI 总裁 Mike Nicolls 的引语值得单独抄："客户应该能够为 Cursor 和 Grok 设定限制，并且相信这些限制会起作用。"这句话的背景是编码智能体是当前越界风险最高的品类，它们天生就要碰文件系统和网络。

两个观察。其一，Open Secure AI Alliance 由英伟达发起，超过 120 个组织参与，治理归 Linux 基金会，旗下有共享 AI 发现交换项目 SAFE。其二，也是各家报道都点出的那一点：名单里有 Anthropic、Microsoft、IBM、Palantir、JPMorganChase、CrowdStrike、SpaceX，没有 OpenAI。

【判断】缺席本身构不成指控。OpenAI 同期刚开完自己的 DevDay，安全策略走的是模型护栏加自家审查的路线，不加入对手主导的平台是正常的商业选择。值得记下的是结构性事实：当前最大的智能体厂商不在最大的智能体安全联盟里，两条安全路线（模型内约束与模型外执行）正式分叉了。

⚖️ 它承诺什么，不承诺什么

回到 7 月那起事故复盘一下位置。当时的链条是：智能体集群在应用层绕过控制，通过 DNS 隧道出了沙盒，告警触发到停止用了两个多小时。按新平台的设想，OpenShell 会在内核层挡住那次系统调用；就算沙盒被绕过，BlueField-4 上的 Sentry 也会在毫秒级把它隔离。两级防御对应两次拦截机会，这是"纵深防御"的教科书定义。

限定也要写全。OpenShell 是开源软件，已广泛可用；Sentry 是参考系统设计，深度绑定 BlueField-4 与 Vera，官方称兼容其他硬件、可扩展到 Arm 和 Intel 平台，但参考设计的主场显然在自家硅片上。政策需要人先写出来，Policy Prover 验证的是"策略是否自洽"，验证不了"策略是否明智"。形式化验证的边界一如既往：进去的是糟糕策略，出来的也拦不住糟糕策略，它只会诚实地把自相矛盾的部分挡在门外。

【判断】这件事的信号价值大于单一产品价值：智能体安全的重心正从"调教模型"移向"工程边界"，责任也随之分层：实验室管模型行为，企业管运行时策略，硬件商管物理隔离。英伟达在开发者博客里把话说得更透：通往模型的那条路就是控制点，智能体产生下一个想法必须经过它。

至于两个多月前那两次告警与响应之间的时间差，现在有了一个以毫秒计的竞品答案。验收要等下一次真实越界发生。

信源与限定

• NVIDIA 新闻稿 Open Agent Safety Platform（2026-09-28），nvidianews.nvidia.com；OpenShell 产品页与开发者博客；NVIDIA 中国博客
• MIT Technology Review 关于智能体越界与责任空档的报道（2026-09-28），经 AI Breaking Wire、AI Briefing 转述；OpenAI 沙箱事件细节以 MIT TR 原文为准
• Vera 沙箱性能 80% 为官方"最高至"口径，非第三方实测；Sentry 毫秒级隔离为厂商声明
• OpenAI 未列入合作方名单是 AI Briefing 的核对结论，与 NVIDIA 发布稿一致