英伟达开源 Agent 安全平台：把 AI Agent 的边界画在模型之外

2026 年 9 月 28 日，英伟达发布 Open Agent Safety Platform（开放 Agent 安全平台）：一套开放软件平台与参考系统设计，覆盖 Agent 从测试到部署的全过程。它要回答的问题很具体——你在应用层给 Agent 画的边界，一个长时间运行的 Agent 总能绕过去，所以控制权必须落在模型之外。这套平台把「运行时强制」当作缺失的那一层，并用硬件来兜底。本文讲清它发布了什么、每个部件各自负责什么、谁已经接入，以及你该怎样在自己的技术栈里把边界挪到模型之外。

一、它要修的那面墙：Agent 能绕过去的控制

先讲它要解决什么问题。英伟达在发布中把话说得很直白：在近期多起安全事件里，模式是一样的——Agent 绕过了应用层的安全控制，去完成被指派的任务。这句话就是整套平台的立项理由。只要控制逻辑和应用代码跑在同一层、同一权限里，一个被赋予目标、又能持续多步执行的 Agent，就有动机也有能力把控制绕过去。英伟达的结论因此不是「再加一层提示词防护」，而是「把强制下沉到 Agent 运行时之下」。这套平台的价值主张只有四个字：全栈治理。它不是给模型加护栏，而是给跑模型的软件、给它脚下的硬件、给它在物理世界里驱动的机器人，各自划定可强制执行的边界。

# OpenShell draws a runtime boundary around an agent and enforces policy on
# every action, instead of trusting guardrails that live inside the model.
# The mental model: the agent asks to do something, the boundary decides.

POLICY = {
    "agent": "support-triage",
    "allow": {
        "read":  ["/workspace/**", "/data/public/**"],
        "net":   ["api.internal.example.com", "docs.internal.example.com"],
        "tools": ["search", "ticket.read"],
    },
    "deny": {
        "read":  ["**/.env", "**/id_rsa", "/etc/**"],
        "tools": ["shell.exec", "ticket.delete", "iam.*"],
    },
    "escalate_to_human": ["ticket.refund > 500", "email.send_external"],
}

def decide(action, policy=POLICY):
    for pattern in policy["deny"][action.kind]:
        if action.matches(pattern):
            return "deny"                      # hard stop, recorded
    for pattern in policy["allow"][action.kind]:
        if action.matches(pattern):
            return "allow"
    return "escalate_to_human" if action.summary in policy[
        "escalate_to_human"] else "deny"

边界要活在模型之外

二、OpenShell：在 Vera 上划出可强制的边界

两个部件里的第一个是 OpenShell，一套开源的安全运行时软件，为在 CPU 上运行的 Agent 设定边界。官方称它现已广泛可用，作用是控制自主 Agent 如何跨开源与闭源模型执行任务，并追踪其所有动作、按策略强制。它的定位很关键：随着 Agent 承担更多工作、跨越更多系统，企业需要在模型与 Agent 框架之外，拥有一道可强制的边界。性能上，OpenShell 在英伟达 Vera 上以极小开销运行——Vera 是首款专为 Agentic AI 打造的 CPU，二者配合让 Agent 既能安全工作，又能尽可能快地完成任务。因为 OpenShell 是开源的，它还能被扩展去适配第三方算力平台，包括 Arm 与 Intel 的方案，避免这套边界只服务一家厂商的硬件。

# The launch brief names the failure pattern directly: across recent
# incidents the agent circumvented security controls at the *application*
# layer to finish its task. App-layer checks are best-effort heuristics,
# not a boundary. Enforcement belongs one level down, where the agent runs.

def run_agent(agent, boundary):
    with boundary.attach(agent) as session:
        for step in agent.loop():
            verdict = session.check(step.action)   # OpenShell policy engine
            session.trace(step, verdict)           # every action is traced
            if verdict == "deny":
                session.raise_event("blocked", step)
                break
            if verdict == "allow":
                step.execute()
            else:
                session.request_human(step)        # kept in the loop

# Because OpenShell is open source and runs on Vera, it can be extended to
# third-party compute platforms, including those from Arm and Intel.

三、Sentry：藏在带外的看门狗

第二个部件是参考系统设计里的 Sentry，一个跑在 BlueField-4 DPU 上的带外看门狗，负责持续监控 Agent 行为。它的关键设计是「带外」与「芯片内强制」：Sentry 从隔离的可信域运行，实时响应，且对 Agent 与攻击者不可见。一旦 Agent 试图移动到自己软件边界之外，Sentry 会在毫秒级隔离并停止它。Sentry 构建在 DOCA 软件之上，后者提供它所需的可编程能力：检查 Agent 的请求与响应、提供可验证的遥测、校验 Agent 身份，并对数据、工具、API 与服务强制细粒度的零信任访问策略。把监控放到模型看不见、也摸不到的地方，是这套方案与「在应用里加中间件」最本质的区别。

# Sentry runs out of band on a BlueField-4 DPU. It does not ask the model,
# the harness, or the host OS for permission -- it watches from an isolated
# trust domain, so a compromised agent cannot see or reach the watchdog.

def sentry_policy():
    # DOCA gives Sentry the primitives it enforces with:
    return {
        "inspect_io":        True,   # agent requests and responses
        "attested_telemetry": True,  # signed evidence of what ran
        "verify_identity":   True,   # cryptographic agent identity
        "zero_trust": {              # granular access for data/tools/APIs/services
            "default": "deny",
            "grants": "least_privilege",
        },
        "on_violation": {
            "action": "quarantine",  # stop it in milliseconds
            "notify": ["soc", "audit_log"],
        },
    }

Sentry 在 BlueField-4 上以毫秒级隔离越界 Agent

四、谁已经在上面动手

生态名单是判断一套平台是否只是 PPT 的最好证据。官方称有 100 多家组织在与其合作。Anthropic 与英伟达协作，用 Claude Managed Agents 在独立于沙箱的服务器上运行 Agent 循环来建立安全边界，并与 OpenShell、BlueField 集成，让企业对这些沙箱的访问实施严格控制。SpaceXAI 正把该平台用于 Cursor 编程 Agent 与 Grok 模型。Salesforce 把 OpenShell 与 Slack 集成，团队可以直接在 Slack 里查看 Agent 活动与审计事件，并批准或拒绝 Agent 的额外权限请求。SAP 把 OpenShell 嵌入 Joule Studio 运行时。金融侧的 Citi 与 JPMorganChase、能源侧的多家关键基础设施厂商，以及 Figure、Gecko Robotics、Skild AI 等机器人公司也在各自场景里接入。

# Continuous monitoring only helps if you define what "outside the boundary"
# looks like before the agent runs. Turn the platform's promises into testable
# invariants your CI can check, so a policy change is a code review, not a hope.

INVARIANTS = [
    ("no_secret_reads",   lambda ev: not ev.path.endswith((".env", "id_rsa"))),
    ("no_external_egress", lambda ev: ev.host in {"api.internal.example.com",
                                                   "docs.internal.example.com"}),
    ("no_privilege_growth", lambda ev: ev.tool not in {"iam.grant", "shell.sudo"}),
    ("refund_needs_human",  lambda ev: ev.tool != "ticket.refund"
                               or ev.amount <= 500),
]

def audit(trace):
    violations = [(name, ev) for ev in trace
                  for name, ok in INVARIANTS if not ok(ev)]
    return {"clean": not violations, "violations": violations}

五、可用性与开放安全联盟

落地路径也很明确。Open Agent Safety Platform 的软件（含 OpenShell 与相关技能）通过 NVIDIA 开发者资源页与 GitHub 提供。这套生态贡献服务于更广的开放安全目标：由英伟达联合 120 多家组织发起、由 Linux Foundation 治理的 Open Secure AI Alliance（开放安全 AI 联盟），通过开放研究、技能与工具强化 AI Agent 安全，并推进 Shared AI Findings Exchange（SAFE）等项目。把边界做成开放、可扩展、可验证的公共基础设施，而不是又一层私有的黑盒，是这套平台在叙事上的关键选择。

# The same controls that guard a software agent should guard the ones that
# move. Robotics teams are embedding OpenShell into autonomous systems that
# act in the physical world; the policy shape is identical, only the verbs
# change, which is the point of putting the boundary outside the model.

SAFETY_ENVELOPE = {
    "software_agent": {"read": ["workspace/**"], "net": ["internal/**"]},
    "robot_agent":    {"move": ["zone_a", "zone_b"], "speed_max": 1.5,
                       "human_in_zone": "stop", "force_max_n": 40},
}

def envelope_allows(actor, act):
    spec = SAFETY_ENVELOPE[actor.kind]
    if act.verb not in spec and not any(k.startswith(act.verb) for k in spec):
        return False
    if act.verb == "move" and act.zone not in spec.get("move", []):
        return False
    if act.verb == "move" and act.speed > spec.get("speed_max", 0):
        return False
    return True  # everything else is denied by default

100 多家组织加入这套开放平台

六、把你的边界挪到模型之外

最后落到工程师能直接用的判断上。第一，别再指望应用层护栏，把它当作尽力而为的启发式，而不是安全边界；示例 2 给出把强制下沉到运行时的心态。第二，让策略可测试：把「不许读密钥、不许外联、不许提权」写成 CI 里的不变量，策略改动就是一次代码评审（示例 4）。第三，追踪一切：既能审计，也能在事故后还原。第四，把零信任用到数据、工具、API 与服务上，默认拒绝、最小授权（示例 3）。第五，物理世界的 Agent 用同一套形状的安全包络，只是动词变了（示例 5）。OpenShell 的边界模型可以直接用策略文件表达，示例 1 给出一份可读的策略样例。