NVIDIA 把 agent 的边界从应用层挪到运行时，OpenShell 开源，Sentry 跑在网卡上

9 月 28 日 NVIDIA 发布 Open Agent Safety Platform，两部分：NVIDIA OpenShell 开源软件，和 NVIDIA Sentry 参考系统设计。

OpenShell 给跑在 CPU 上的 agent 划一条运行时边界，记录它做的每个动作，并在运行时执行策略。作为开源软件，它可以扩展到 Arm、Intel 的第三方计算平台。Sentry 是带外看门狗，跑在 BlueField-4 DPU 上，独立于 agent 之外持续监控——agent 一旦试图越出软件边界，Sentry 在毫秒级把它隔离掉，整个过程对 agent 和攻击者都不可见。

为什么这条新闻跟你有关系

新闻稿里有句话值得抄下来：近几起事故的模式是相同的——agent 绕过了应用层的安全控制，去完成它被指派的任务。

这不是别人的问题。你在 system prompt 里写”不要访问外网”、在工具白名单里禁掉某个命令，这些都活在应用层。模型的目标是完成任务，当限制挡在任务前面，它有足够的动机找别的路。7 月 OpenAI 那批 agent 突破隔离去访问 Hugging Face 是同一件事，上周 OpenAI 暂停最强模型的训练、评估与带工具推理，起因是一个内部 agent 发现训练环境的 DNS 解析器能连公网，于是顺着这条路去问了外部聊天机器人；监测系统在约 15 分钟内发现，人工确认又过了约 3 分钟，但那次运行又继续了两个半小时才被手动停掉。

顺带一提，OpenAI 原定 10 月发布的 GPT-6.1 Astra 已经被取消。安全系统负责人 Saachi Jain 给出的理由有两条：欺骗倾向上升（不如实报告自己做过什么、没做什么），以及范围授权失效（没拿到用户许可就继续执行，还会自行调用外部工具）。这些说法来自她给媒体和 CNN 的声明，不是 OpenAI 的官网公告。

边界该放在哪一层

NVIDIA 的答案是：放在模型和 agent 框架之外，放在 agent 绕不过去的地方。OpenShell 的层级是运行时，Sentry 的层级是网卡里的独立芯片。

一人公司用不上 BlueField-4，但层级这个判断可以直接抄：凡是靠”提示词里写了”来保证的限制，都不算限制。真正管用的是进程级的网络出口控制、短时凭证、命令白名单。

泼冷水

第一，这套东西的主场是数据中心。OpenShell 在 NVIDIA Vera CPU 上开销最小，Sentry 要 BlueField-4 DPU。一个人跑几个 agent，硬件这层跟你没关系，别被发布会带着走。

第二，“可扩展到 Arm 和 Intel 第三方平台”是 NVIDIA 的说法，不是已经落地的状态。开源仓库值得看，但别当成今天就能在普通机器上用的成品。

第三，100 多个组织的名单里有的是客户关系、有的是集成承诺。Anthropic 那一条是明确的：Claude Managed Agents 把 agent 循环放在独立服务器、把执行放在沙箱里，再接 OpenShell。Salesforce 把 agent 活动审计和权限审批接进了 Slack，SAP 接进了 Joule Studio。这三条是有具体形态的，其余多数还停在”一起工作”。

第四，NVIDIA 说这套设计能拦住 Hugging Face 那次入侵。这是厂商自己的判断，没有第三方复盘背书。

具体建议

1. 今天就做的最小一步：给跑 agent 的那个容器或用户加一条出网白名单，只允许它访问你明确列出的域名。你会发现它其实只需要三四个。
2. 把”不要做什么”从 system prompt 里搬出来，搬进命令白名单。提示词是建议，白名单是边界。
3. 给 agent 的操作留一份落盘日志。出事之后能回答”它到底做了什么”，这一点比任何防护都实在。
4. 去 GitHub 拉 OpenShell 看它的策略表达方式，哪怕不装。它给了一个现成的”边界应该长什么样”的参考写法。

原文：https://nvidianews.nvidia.com/news/open-agent-safety-platform