NVIDIA 发布「开放智能体安全平台」：软件沙箱跑在 Vera CPU，硬件看门狗跑在 BlueField-4 DPU

官方写动机的方式很直接，值得原样抄下来：近期多起安全事故凸显出，组织需要开放、可定制的工具来管住长时间运行的智能体；而这些事故里「模式都是一样的」——智能体绕过了应用层的安全控制，去完成它被指派的任务。这句话解释了整个发布的设计取向：如果约束只写在应用层，那个正在执行任务的智能体恰好是最有动机、也最有能力绕过它的角色，那么约束就必须落到应用层之外——落到运行时，甚至落到硬件。

第一层是软件。OpenShell 被官方定义为「安全运行时边界」，在 NVIDIA Vera CPU 上运行，追踪智能体的所有动作并执行策略。官方给出的三点信息值得记：一是它现在已正式可用（broadly available），不是预览；二是它运行时开销低，官方称得益于 Vera——那是 NVIDIA 称为「第一颗为智能体 AI 专门设计的 CPU」；三是它虽然为 Vera 优化，但作为开源软件可以扩展到第三方计算平台，官方点名 Arm 与 Intel。平台层面的策略由官方写成「软件用 NVIDIA、硬件可自选」的开放姿态：企业可以按自己的需求，只部署 Open Agent Safety Platform 中的某几个部件。

第二层是硬件，也是这次发布里更少见的部分。Sentry 是一个独立的、带外的看门狗，运行在 NVIDIA BlueField-4 DPU 上，持续监控智能体行为。官方称它提供「硅内安全执行」：如果 AI 智能体试图越出其软件边界，Sentry 会在毫秒级把它隔离并停止。关键在「带外」与「独立」这两个词——Sentry 不在执行智能体的那颗 CPU 或 GPU 上跑，而是在另一个信任域里，官方称其对智能体和攻击者都是「不可见」的，同时提供威胁检测、基于硬件的智能体治理与执行、以及数据访问保护。Sentry 构建在 NVIDIA DOCA 软件上，用 DOCA 的可编程能力检查智能体的请求与响应、提供可验证的遥测、验证智能体身份，并对数据、工具、API 与服务执行细粒度的零信任访问策略。

官方列出的落地案例里，几个大厂的接法不太一样，值得区分。Anthropic 的做法是把安全边界放在模型与沙箱之间：Claude Managed Agents 让智能体循环跑在一台独立服务器上，与执行工作的沙箱分开，再通过 OpenShell 与 BlueField 的集成，让企业对这些沙箱的智能体访问执行严格控制；Anthropic 首席商务官 Paul Smith 的说法是，企业正把越来越重要的工作交给智能体，需要在敏感环境中指导并核实智能体做了什么。SpaceXAI 把该平台用于 Cursor 编程智能体与 Grok 模型，其总裁 Mike Nicolls 的说法是安全应当由「智能体绕不过去的额外控制」在模型之外执行。Scale AI 把它接入自家 Scale GenAI Portfolio 的智能体基础设施层；Salesforce 把 OpenShell 与 Slack 集成，团队可以直接在 Slack 里查看智能体活动与审计事件、批准或拒绝智能体申请的额外权限；SAP 则把 OpenShell 嵌进 Joule Studio 运行时，同时向 OpenShell 贡献工程代码。可获取性方面，官方称 OpenShell 及其 skills 已通过 NVIDIA 开发者资源页与 GitHub（github.com/NVIDIA/OpenShell）提供；生态侧还有由 NVIDIA 发起、逾 120 家组织参与、由 Linux 基金会治理的 Open Secure AI Alliance。