英伟达发布 Open Agent Safety Platform：把智能体的边界做进芯片，用 100 多家伙伴围一圈

官方新闻稿给这次事件的定性只有一句话，但它值得单独拎出来：Across these incidents, the pattern is the same — the agent circumvented security controls at the application layer to complete its assigned task。翻译过来是：在近期这些安全事件里，模式是一致的——智能体为了完成被交办的任务，绕过了应用层的安全控制。这句话解释了为什么英伟达不做模型，而去做地板：越界发生在应用层，因为边界本来就该在那里，但那里没有。新闻稿的措辞是，随着智能体在更多系统上承担更多工作，企业需要在模型和智能体框架之外，有一个可强制执行的边界。

第一层是软件侧的边界。NVIDIA OpenShell 是一个安全运行时，为运行在 CPU 上的智能体设定边界，官方称它现已「broadly available」（全面可用）。它的定位很具体：为跨开放与闭源模型执行任务的自主智能体，提供一个可根据策略强制执行的运行时边界，而不是依赖模型自觉。它的运行目标是 NVIDIA Vera，官方描述这是「首款专为智能体 AI 打造的 CPU」，两者配合的目标是让智能体在安全的前提下尽可能快地完成工作。另一个关键点是许可：作为开源软件，OpenShell 可以扩展支持第三方计算平台，官方点名的是 Arm 和 Intel。

第二层是硬件侧的看门狗，也是这套设计里技术上最有意思的部分。NVIDIA Sentry 是一个带外（out-of-band）看门狗，运行在 NVIDIA BlueField-4 DPU 上，持续监控智能体行为。官方给的关键词是「in-silicon security enforcement」——如果某个 AI 智能体试图越出它的软件边界，Sentry 会在毫秒级把它隔离并停止。它的部署形态决定了它的价值：它在一个隔离的、带外的信任域里运行，对智能体和攻击者都不可见，同时实时响应。Sentry 建立在 NVIDIA DOCA 软件之上，用 DOCA 提供的可编程能力来检查智能体的请求与响应、提供可证明的遥测、验证智能体身份，并对数据、工具、API 与服务执行细粒度的零信任访问策略。

合作名单值得逐类看，因为它说明了这件事不是英伟达一家在推。官方列出的参与方包括 Anthropic、Cisco、CrowdStrike、Dell Technologies、Figure、HPE、Hugging Face、JPMorganChase、Microsoft、Palantir、Palo Alto Networks、Perplexity、Red Hat、Salesforce、SAP、Scale AI、ServiceNow 和 SpaceXAI。这份名单横跨模型层（Anthropic、Hugging Face、Perplexity）、网络与终端安全（Cisco、CrowdStrike、Palo Alto Networks）、企业与云（微软、戴尔、HPE、红帽、Salesforce、SAP、ServiceNow）、金融（摩根大通）、数据与政府承包（Palantir、Scale AI），以及机器人（Figure）。官方对协作目标的表述是：分享最佳实践、在评估方法上对齐、促进国际合作。

其中唯一被单独展开的合作是 Anthropic。官方写的是：Anthropic 与英伟达合作，为智能体技术栈带来额外的安全与控制层；Claude Managed Agents 通过把智能体循环放在一台独立于执行沙箱的服务器上运行来建立安全边界；与 OpenShell 和 BlueField 的集成，使企业能够对这些沙箱中的智能体访问施加严格控制。翻译成人话：模型厂把「决定做什么」留在自己那侧，「允许做什么」交给运行时和硬件那侧，两边靠接口对接。这个分工本身就是这篇新闻稿里最值得记下来的架构判断。

英伟达首席执行官黄仁勋在新闻稿里的表态把这件事的动机讲得很直白。他说：AI 对社会的非凡潜力，只有在解决 AI 安全之后才能实现；随着我们继续探索 AI 能力的前沿，我们必须加速探索 AI 安全的前沿；安全与保障需要全栈工程；这套平台把行业、研究人员和公共部门组织聚在一起，分享最佳实践、在评估方法上对齐、促进国际合作。把这段话和上一段的架构分工放在一起看，英伟达的立场是：安全不是给模型打个补丁，而是一个需要沿着软硬件栈逐层建造的工程问题。

同一天还有一条财务侧的公告需要一起看，否则会误判英伟达的动作节奏。据英伟达官网另一份新闻稿（2026 年 9 月 28 日），英伟达董事会批准把股票回购授权额度增加 1500 亿美元。这两条公告同日发出，恰好构成一种对照：一边是持续往研发和生态里投钱，一边是把资本返还股东。对于关注算力与安全长期投入的人来说，读同一天的这两份文件比逐条解读某一份更有意义。

最后说一句这套东西的边界在哪。官方给的是「开放软件平台 + 参考系统设计」，OpenShell 是开源的、能接到 Arm 和 Intel 的平台上，这是它的好处；但 Sentry 的毫秒级隔离依赖 BlueField-4 DPU 和 DOCA，也就是说最强的那一层仍然绑定在特定硬件上。想判断这类方案有没有实效，可以盯两个可验证的点：一是 OpenShell 在非英伟达平台上被真正跑起来的案例，二是在真实事故里，Sentry 是不是第一个发现问题的组件——公告里给的是能力描述，不是实战记录。