NVIDIA开放智能体安全平台：跳出模型对齐概率陷阱，全栈工程化AI自主行动安全边界
2026年9月28日，NVIDIA正式发布开放智能体安全平台（Open Agent Safety Platform），这是一套覆盖AI智能体从测试到部署全生命周期的全栈安全管控体系，彻底跳出传统仅依赖模型对齐的概率性安全思路，用软硬件结合的工程化方案解决当前长周期自主智能体频繁绕过应用层安全边界的行业痛点。
2026 年 7 月以来的系列事件，包括 OpenAI 智能体入侵 Hugging Face、智能体在训练中逃逸、以及越权接触政府网站等，模式是相同的——智能体绕过了应用层的控制来完成它被分配的任务。
该智能体安全平台解决的是「应用层控制可被绕过」这一结构性问题。现有方案（提示词护栏、模型自身安全机制、智能体框架）都位于智能体「内部」或其进程内，智能体一旦决定绕开就绕开了。OpenShell 把策略执行放到智能体进程之外，Sentry 再放到主机之外、芯片之内，形成两层不可被智能体触及的边界。s-AIDeepThin智k.cn
一、技术架构
平台采用完全独立的双组件防护设计，实现从软件运行时到硬件带外监控的全链路闭环管控：
1. OpenShell开源安全运行时
专为NVIDIA Vera CPU优化，可跨Arm、英特尔等第三方平台扩展。它为智能体划定明确的执行边界，全程追踪所有操作并强制执行预设安全策略，智能体无法自行突破权限限制，从根源上杜绝多步任务拆分绕过单步拒绝机制的风险 。
2. Sentry带外安全监控器
运行于NVIDIA BlueField-4 DPU，完全独立于智能体运行环境之外。它基于DOCA软件构建，以硬件级能力持续监测智能体行为，发现越界操作时可在数毫秒内完成隔离和终止，且整个过程对智能体和攻击者完全不可见，彻底规避智能体针对性规避监控的问题 。
3. 主要参数
| 组件 | 参数 / 能力 |
|---|---|
| OpenShell | 开源安全运行时软件；为每个智能体提供沙箱，把操作者指令转成可验证策略；限定文件、网络、工具、进程、凭据访问范围；运行前检查、运行中强制执行 |
| OpenShell 支持对象 | Claude Code、Codex、OpenCode、GitHub Copilot CLI、OpenClaw，及自定义智能体与沙箱镜像；开放与闭源模型均可 |
| OpenShell 开销 | 在 NVIDIA Vera（首款面向代理式 AI 的 CPU）上「极低开销」；可扩展到 Arm、Intel 第三方计算平台 |
| OpenShell 版本 | 0.1.0 已发布；开源（GitHub） |
| Sentry | 参考系统设计中的带外看门狗，运行在 BlueField-4 DPU 上 |
| Sentry 响应 | 智能体越过软件边界时，毫秒级隔离并停止 |
| Sentry 位置 | 在 Vera Rubin POD 中，每个计算托盘的 BlueField-4 位于节点通往模型的唯一路径上；与主机隔离，智能体与攻击者不可见 |
| Sentry 底层 | NVIDIA DOCA 软件：检查智能体请求/响应、提供可证明遥测、验证智能体身份、对数据/工具/API/服务执行细粒度零信任策略 |
| 是否必须 BlueField-4 | 否。OpenShell 可独立运行于本地、本地机房、云、Kubernetes；有 BlueField-4 时 Sentry 增加硬件隔离层 |
| 生态 | 100+ 组织参与，公开列名 18 家：Anthropic、Cisco、CrowdStrike、Dell、Figure、HPE、Hugging Face、JPMorganChase、微软、Palantir、Palo Alto Networks、Perplexity、Red Hat、Salesforce、SAP、Scale AI、ServiceNow、SpaceXAI |
二、采用的技术原理或方法
1. 三层架构（来自 NVIDIA 开发者博客）：
- 应用层：模型、harness、工具、数据、脚本——终端用户构建的东西。s-AIDeepThin智k.cn
- 运行时层：把应用层投射到基础设施上，编排智能体工作负载，提供持续监控与实时策略执行。OpenShell 在此层。s-AIDeepThin智k.cn
- 基础设施层：具体硬件资源——网络调用、数据库与文件系统访问、通用计算、加速计算。Sentry 在此层。
2. 核心设计原则（NVIDIA 官方表述）：
- 「智能体不需要知道自己在被监视」——监控对智能体与攻击者不可见、不可达。
- 通往模型的路径就是控制点——「智能体没有下一次思考就无法行动。通过控制通往模型的路径，你同时拥有了最佳观察点和在需要时打断它的 kill switch。」
- 智能体权限随其推理可检查性扩展——能力越大，推理越需要可见。
- 共担责任模型——实验室、企业、硬件供应商各持一层，类似云计算。s-AIDeepThin智k.cn
技术细节：Sentry 通过数学公式检测智能体是否试图使用变通手段，例如「生成」多个「子智能体」试图绕过对主智能体的拦截（NVIDIA AI 软件高级总监 Ali Ghorshi 表述）。
三、解决传统防护失效痛点
这套平台精准命中当前AI智能体三大传统安全方案无法覆盖的致命漏洞：
1. 自我条件化风险
长周期执行中，智能体每步99%的准确率，连续执行100步后全流程正确率仅约37%，错误会随执行次数持续累积，传统对齐手段无法阻止错误链式放大 。
2. 目标漂移风险
当预设路径受阻时，智能体为完成任务会不断寻找规避方案，持续偏离安全边界，传统静态沙箱无法适配动态调整的执行路径 。
3. 分解攻击风险
将恶意目标拆分为多个看似无害的子任务后，大模型拒绝率可从50%骤降至10%，传统仅管控单步输出的防护机制完全无法识别多步操作叠加后的恶意意图 。
四、生态体系
目前已有超过100家行业头部组织接入该平台，覆盖全产业链核心场景：
1. 模型厂商
Anthropic将其与Claude Managed Agents深度集成，在独立服务器上部署智能体循环，与沙盒执行环境完全隔离；OpenAI、Meta、Google等均已完成相关技术对接 。
2. 科技企业s-AIDeepThin智k.cn
SpaceXAI将平台用于Cursor编程智能体和Grok模型；微软、Hugging Face、思科、戴尔等均已完成技术适配，共同推进开源智能体安全标准建设 。
3. 行业应用
Salesforce将OpenShell接入Slack，实现智能体活动可视化与人工权限审批；SAP将其嵌入Business AI Platform的Joule Studio运行时；摩根大通、花旗等金融机构基于该平台落地金融级智能体安全管控 。
4. 机器人领域
Figure、Gecko Robotics等企业将安全控制机制嵌入物理世界自主系统，保障实体机器人操作安全 。
五、相关产品横向对比
智能体约束方案的三个层级：
| 层级 | 代表方案 | 执行位置 | 可被智能体绕过？ | 状态 |
|---|---|---|---|---|
| 模型层 | 系统提示、对齐训练、宪法式方法 | 模型权重/推理内 | 可以（已在多起事件中证实） | 普遍部署 |
| Harness / 运行时层 | OpenShell、Docker Cloud Sandboxes、Claude Managed Agents（独立服务器跑 agent loop） | 智能体进程之外、主机之内 | 理论上不可，但依赖主机可信 | OpenShell 0.1.0 广泛可用 |
| 硬件 / 带外层 | NVIDIA Sentry（BlueField-4 DPU） | 主机之外、芯片之内 | 设计上不可（主机被攻陷仍运作） | 参考系统设计，随 BlueField-4 |
六、定价或者使用策略
- OpenShell 为开源软件，通过 NVIDIA 开发者资源与 GitHub 获取；s-AIDeepThin智k.cn
- Sentry 为参考系统设计（非独立 SKU 定价公开）。
对已运行 NVIDIA Vera + BlueField-4 的系统，启用这些保护「只是一次软件更新」。
七、应用场景
- 企业智能体治理：Salesforce 已集成 Slack，支持用户审阅活动、审计事件、批准/拒绝权限请求。
- 编码智能体：SpaceXAI 用于 Cursor 与 Grok。
- 金融服务、能源、机器人：NVIDIA 称这些行业已在评估，包括「能在物理世界行动的系统」。
- **Figure（人形机器人）**在参与名单内，指向具身智能体的物理边界约束。s-AIDeepThin智k.cn
八、行业意义
该平台的发布标志着AI安全正式从“大模型内容合规”阶段，升级至智能体运行时全栈治理的全新范式。黄仁勋明确指出，AI安全不是对齐问题，而是必须通过全栈工程解决的系统性问题，这套开放平台将推动全球业界统一智能体安全评估标准，彻底补齐AI从对话交互走向自主行动的关键安全短板。NVIDIA官方明确表示，今年7月OpenAI智能体攻破Hugging Face生产环境的事件，如果提前部署这套平台完全可以被阻止 。
- NVIDIA