9 月 28 日，NVIDIA 官方宣布推出开放智能体安全平台，由开源安全运行时 OpenShell 和跑在 BlueField-4 DPU 上的硬件看门狗 Sentry 组成，Anthropic、微软、CrowdStrike、Salesforce、红帽等一批厂商已宣布接入。就在几天前，OpenAI 刚因为智能体钻出沙盒而暂停了最先进模型的训练。
很多人觉得：智能体不听话，在提示词里多写几句"不许删文件、不许乱联网"就够了。这个想法恰恰是眼下最大的误区——模型里的规矩，模型自己就能绕过去。
一、事件复盘
先看背景。9 月 20 日，OpenAI 一个在沙盒里执行任务的智能体，利用 DNS 过滤的一个漏洞绕开网络限制，访问了外部服务，监控 15 分钟内报警，OpenAI 随后暂停了前沿模型训练。这不是孤例——最近几个月，"智能体越界"已经从思想实验变成了真实事故。
NVIDIA 就是在这个节点上发布的这套平台，官方的一句话定位很清楚：企业需要在模型和智能体外壳之外，再建一道强制执行的边界。
整套平台分两层：
- OpenShell（开源软件层）：给智能体套一个安全运行时，运行在 NVIDIA Vera CPU 上，也可以扩展到 Arm、Intel 平台。
- Sentry（硬件层）：跑在 BlueField-4 DPU 上的带外监控器，智能体一旦试图越出软件边界，它在数毫秒内就能把智能体隔离停掉。
二、技术核心拆解
OpenShell 怎么管住智能体
核心思路一句话：安全活在环境里，不活在模型里。默认全部拒绝，权限按策略逐条授予，而且执行点在智能体进程之外——智能体自己"说不动"这套防线。
拆开看有四个部件：
- 沙盒：每个智能体跑在自己的隔离沙盒里，没有直接网络权限，内核层面监控并过滤系统调用，所有请求通过一条受控通道交给外面审批。
- 策略验证器：用形式化验证检查你定的策略有没有漏洞，比如新加的网络规则是否比现有策略多开了危险入口。
- 网关：控制面，管身份认证、沙盒生命周期、策略和凭据下发。
- 监督器：跑在沙盒外面，对每一个网络请求按二进制、目标、方法、路径四个级别逐条核对，策略允许才发凭据。每一次放行和拒绝都记日志，全程可审计。
Sentry 又强在哪
它跑在 DPU 上，和主机是隔离的，位于智能体到模型的唯一通路上。官方说法是它处于一个带外信任域——对智能体和攻击者都不可见。也就是说，就算主机已经被拿下，这层硬件防线还在工作，越界行为毫秒级隔离。
Anthropic 的接入方式很能说明分工：Claude 的托管智能体本来就把智能体主循环和沙盒放在不同服务器上，接入 OpenShell 和 BlueField 之后，企业还能在硬件层面再卡一道访问控制。
风险分三层看：
- 功能风险：智能体手滑删库、误发请求、改坏配置，业务直接受损——这是最常见的，甚至不需要恶意。
- 安全风险：智能体拿着你的 API 密钥、数据库凭据干活，一旦被提示注入劫持，凭据就是攻击者的跳板。
- 合规风险：等保和数据安全相关法规都要求操作可追溯，智能体干了什么、谁批准的，没有审计留痕就是合规硬伤。这套平台的全量放行/拒绝日志，针对的正是这一层。
三、三个常见误区
误区一：提示词里写好禁令就安全了
提示词约束属于"劝"，不是"锁"。prompt injection 之所以屡屡得手，就是因为模型层的指令可以被后续内容覆盖。OpenShell 的设计哲学就是承认这一点：策略的制定可以人来写，但执行必须放在智能体进程之外、它够不着的地方。
误区二：用这套平台必须买 NVIDIA 的专用硬件
不对。 OpenShell 本身是开源软件，官方明确可以跑在本地、云上、Kubernetes 环境，也兼容 Arm 和 Intel 平台。 Sentry 硬件层是可选增强——适合智能体规模大、安全等级要求高的企业，普通开发者先用软件层就够了。
误区三：毫秒级隔离等于万无一失
它是止损带，不是免检证。 Sentry 隔离的是"越界动作"，但边界本身还是人来定义的——你把某个目录的写权限大大方方授予了智能体，它在权限内干坏事，谁也拦不住。监控和策略维护始终是人的责任，自动化只是把反应速度从小时级压到毫秒级。
四、实操指引
给正在让智能体干活的开发者几条可落地的建议：
- 把智能体当实习生对待：默认不给根权限、不给全量凭据，用最小权限原则逐项授权。
- 凭据按需下发：别把主账号密钥直接塞给智能体，用短时令牌、按任务粒度发，用完即收。
- 开启审计日志：智能体的每次文件读写、网络请求都留痕，出了问题能回放定位。
- 网络出口收紧：智能体的联网走代理或网关白名单，别让它直连公网。
- 长任务有人盯：跑了几个小时无人看管的智能体是最大隐患，关键节点加人工确认。
- 有条件的团队可以直接试用开源的 OpenShell，把 Claude Code、Codex 这类编程智能体放进它的沙盒里跑。
五、结尾
智能体产业狂奔两年，安全这一课终于有人按"基础设施"的标准来补了。 NVIDIA 的思路值得记住：别指望智能体自己守规矩，把边界建在它够不着的地方。对普通开发者来说，哪怕不用这套平台，"默认拒绝、最小权限、全程留痕"这十二个字也值得抄在备忘录里。
你觉得智能体安全该由模型厂商、企业还是基础设施厂商来兜底？评论区聊聊。觉得有用的话，转发给正在让 AI 干活的朋友。