⚠️ 说明本文基于公开报道整理涉及企业与产品信息以官方发布为准。一、几十亿个智能体谁来看着它们先说背景。企业准备部署的AI智能体不是几个、几十个而是奔着几十亿个去的。数量一上去安全就不能再是事后加装的东西——官方给出的思路是把治理直接构建到计算架构里从底层长出来而不是往软件上插个插件、装层防火墙。这个方向跟过去所有AI安全的做法都不一样。二、三层结构思考、行动、治理这套方案把智能体拆成三个落点思考、行动、治理分别落在三块硬件上。Rubin负责跑模型推理智能体在这里思考Vera CPU管执行框架和工具调用智能体在这里行动。真正的关键是第三块——治理。BlueField-4 DPU上跑着一个叫NVIDIA Sentry的安全框架专门负责看着智能体而这块硬件在智能体完全够不着的地方。三、OpenShell怎么工作OpenShell是这套架构的核心软件开源Apache 2.0 许可。它由四个组件组成Gateway网关控制平面管理沙箱的生命周期和策略。Supervisor监督器检查智能体的每一个出站请求是否符合策略同时管控凭证访问完全独立于沙箱运行。Sandbox沙箱隔离智能体的工作负载限制它能碰的文件系统和进程。Policy Prover策略证明器做形式验证检查一条策略的权限是否还留在组织定义的上限之内。四个组件一个核心思路把智能体的工作负载当成不可信来处理。treats agent workloads as untrusted需要什么权限就给什么权限。给多少、给多久由外面的策略说了算。官方技术文档里的原话是OpenShell在智能体触及不到的地方提供确定性的治理。四、为什么要够不着这里有个关键的设计取舍。过去的Agent安全大多是应用层的在智能体自己运行的进程里加护栏让它自己判断该不该做某件事。问题在于护栏和智能体住在同一个进程里。一旦智能体被提示注入攻击了、被恶意插件污染了、或者供应链出了问题它自己的代码被改了那么住在同一进程里的护栏也可能一起被绕过。一个常被拿来打比方的例子是早期互联网病毒无处不在直到浏览器对网页功能实施了严格限制——把网页能做的事限定在一个固定的框里网页自己改不了这个框。OpenShell对智能体做的是同一件事执法发生在智能体之外而不只是在模型内部。五、最深的一层把执法做进芯片如果软件层的隔离还不够还有一手做到硬件里。BlueField-4 DPU是一块独立的处理单元位于智能体和它要访问的模型之间上面跑着NVIDIA Sentry这个统一安全软件框架。Sentry干三件事持续监测智能体的行为带外监测不依赖智能体自己汇报检查身份和委托权限分析主机内存找出偏离授权行为的地方一旦发现威胁或违规策略就在芯片里执行Sentry可以在毫秒级把智能体隔离掉——这就是所谓的in-silicon enforcement芯片内执法。这一步重要的原因很朴素芯片是智能体改不了的。软件可以被改、进程可以被注入但芯片里烧死的策略智能体碰不到。六、跟微软那条路正好互补差不多同一时间微软也发布了自家的Agent安全方案Guardian Agents守护智能体思路是在软件层加一个保安实时盯着智能体高风险操作要人工审批。两条路不冲突反而互补微软管的是流程什么操作需要人批准什么行为该被拦这套方案管的是底座不管上层怎么变硬件这一层的边界碰不破一个在管理层面一个在物理层面。合起来看Agent安全的防线正在从软件一个点扩展成从应用到芯片的一整条纵深。七、真正值得看的是几个落地案例发布时宣布接入的厂商名单很长从模型厂商到安全厂商到云厂商都有具体清单在官方发布稿里。相比名单几个落地案例更说明问题SAP把OpenShell参考架构集成进了Joule Studio运行时把业务治理和安全的智能体执行连了起来。ServiceNow宣布ServiceNow Arc正式可用一个个人长时运行的AI智能体动作由ServiceNow Super Intelligence Control Tower治理由OpenShell执行。更关键的是它的AI Passport权威层企业可以在几秒内跨软件和硬件撤销一个AI智能体的访问权限。几秒内跨软硬件撤销权限这个能力以前不容易做到。八、智能体重新被定义了一遍同一场演讲里还重新定义了一遍什么是智能体说一个智能体由五个要素组成语言模型负责感知、推理、计划、决策外骨骼智能体的安全带协调记忆激活工具沙箱安全带运行在沙箱里把智能体与系统其他部分隔离知识访问企业数据转化成知识基础工具做实际工作注意第三项——沙箱。在这套定义里沙箱不是安全加固那种附加件而是智能体五大组成要素之一。换句话说没有沙箱就不算一个完整的智能体。这个定义把安全从可选项抬成了结构必需。结尾回到开头那句话把安全做到芯片这一层好处是边界很难被碰。软件可以被改、进程可以被注入但芯片里烧死的策略智能体够不到。它当然不解决所有问题——芯片能管住行为边界管不住模型想什么。但至少边界这件事终于有了一个智能体自己改不动的地方。参考来源36氪《黄仁勋GTC柏林2026完整演讲实录AI不是软件而是制造业》NVIDIA Technical Blog《How NVIDIA OpenShell Reference Architecture Secures and Governs AI Agent Workloads at Scale》官方技术文档用于核对技术细节梅雅达编程笔记原创 · 首发 CSDN · 转载请注明出处