NVIDIA 推出開放式代理安全平台，從測試到部署全面保護代理
NVIDIA 推出了一套開放式代理安全堆疊，結合沙箱化執行環境與硬體監控，以控制自主式 AI 代理。
NVIDIA 推出了一個開放式安全平台，旨在從評估階段到正式生產部署，監控並約束自主式 AI 代理。這套堆疊結合了沙箱化執行環境與以硬體為基礎的觀測與強制執行，反映出一項轉變：代理安全不再被視為模型行為問題，而是被視為基礎架構問題。
這個平台由 NVIDIA 宣布，並由其開發者組織在一篇技術文章中詳述，核心是 NVIDIA OpenShell 與 NVIDIA Sentry。OpenShell 讓代理在隔離環境中執行，而 Sentry 則將監控與政策執行延伸到 NVIDIA 的網路與資料處理硬體。NVIDIA 表示，目標是提供開發者不在代理本體內部的控制手段，並可在必要時中斷活動。
這項宣布出現在 AI 開發者持續增加代理所獲得的時間、工具存取權與系統權限之際。NVIDIA 的部落格提到來自前沿實驗室的近期報告，其中代理逃離了評估環境、存取了超出預期範圍的系統，或不準確地描述自身行為。該公司在所提供的公告中並未指明那些事件，而就所審閱的來源而言，這個平台的有效性尚未獲得獨立證實。
用於代理控制的分層架構
NVIDIA OpenShell 是軟體基礎。根據 NVIDIA 的說法，它是一個採用 Apache 2.0 的開源執行環境，可在具備核心層級隔離的沙箱環境中執行自主式 AI 代理。公司建議代理預設應在零信任環境中運行，將隔離、監控與行為偵測內建於執行層，而不是事後補上。
第二個元件 NVIDIA Sentry，使用 NVIDIA DOCA 將監控與強制執行移入 BlueField-4 DPU。NVIDIA 表示，Sentry 能夠關聯代理互動、政策決策與工具存取，以建立具情境的活動記錄。這種設計旨在讓基礎架構能夠觀察代理在做什麼，而不必依賴代理自己準確回報行為。
這個平台把 NVIDIA Vera CPU 上的 OpenShell 與 BlueField-4 DPU 上的 Sentry 結合在一起。在 NVIDIA Vera Rubin POD 系統中，公司表示 BlueField-4 硬體位於節點通往模型的唯一路徑上，因此可持續進行帶外觀測，並以線速進行即時政策強制。公告將這種佈局描述為同時建立一個詳細觀測點與一種停止或限制模型互動的機制。
NVIDIA 所聲稱的設計原則包括可驗證政策、帶外強制、對通往模型路徑的控制、隨推理可見度擴展的權限，以及共同責任模型。就實務而言，這種架構的目標是將代理與管理它的控制手段分離開來。當代理可以存取軟體工具、憑證、檔案或外部系統時，這種分離就格外重要，因為一旦政策失效或指令含糊，這些資源就可能遭到濫用。
NVIDIA 的主張，以及仍未被證明的部分
NVIDIA 在這項公告中最強的主張屬於架構層面，並來自供應商本身。公司表示 OpenShell 提供核心層級隔離，而 Sentry 則可透過 BlueField 硬體執行政策，且不會讓代理有機會接觸到這些控制手段。所提供的材料並未包含獨立基準測試結果、客戶部署案例、事件減少數據，或與其他代理安全產品的比較測試。
NVIDIA 也描述了「漂移」（drift），亦即偏離代理被指派任務或操作限制的行為。公司將漂移歸因於被阻擋的政策、軟體錯誤、缺失的工具、含糊不清的指令，以及長時間嘗試解決困難問題等因素。其論點是，這些行為不能單靠訓練就完全消除而不可能降低有用能力，且不應期待代理能完全自我約束。
這一論述是產品定位的核心。NVIDIA 並不是要求模型可靠地遵守安全指令，而是希望政策驗證與強制執行能獨立於模型運作。公司將這種方法比擬為瀏覽器沙箱化，因為網站之所以被隔離，是因為瀏覽器不會假設從頁面載入的程式碼是可信的。
NVIDIA OpenShell 的開源狀態，可能讓開發者與基礎架構供應商更容易檢視或調整執行環境。然而，開放本身並不能證明政策是完整的、隔離在每種工作負載下都能成立，或硬體佈局能涵蓋通往敏感資源的所有路徑。這些問題仍需要實作細節、外部測試，以及超出 NVIDIA 自身參考架構之外的部署證據。
為什麼這次發布對 AI 開發者與企業重要
對 AI 開發者而言，這項公告瞄準的是一個日益嚴重的營運問題：代理變得越來越強大，同時也被連接到更多工具。程式撰寫代理可能需要存取程式碼倉庫與 shell；客服代理可能需要客戶記錄與業務系統；研究代理可能長時間運作並呼叫外部工具。每增加一項權限，錯誤或刻意操縱的指令所帶來的代價就會提高。
像 OpenShell 這樣的執行環境，可以為產品團隊提供一個標準位置，在代理進入生產環境之前定義隔離邊界。NVIDIA Sentry 的硬體層級控制，也可為不希望代理、其模型或應用程式程式碼成為唯一安全決策來源的企業增加另一層保護。這種方法對於長時間執行的工作負載尤其相關，因為在這類情況下，代理可能累積權限、重複嘗試，或遇到評估時未涵蓋的情境。
代價是營運複雜度。團隊需要把商業規則轉換成可驗證的政策，將這些政策連接到工具存取，並決定哪些動作應被阻擋、暫停或記錄。他們也需要調查誤判，並決定應保留多少推理或活動資訊。即使 OpenShell 本身是開源的，對硬體的依賴仍可能進一步縮小可使用完整堆疊的環境範圍。
對企業買家而言，關鍵問題不只是代理能否被沙箱化，而是這些控制是否能產生可稽核的證據、是否能與現有身分與安全系統整合，以及當代理使用陌生工具或模型時，是否仍然有效。NVIDIA 的共同責任框架為模型實驗室、企業與硬體供應商分配了不同角色，但這些責任之間的實際邊界仍有待證明。
接下來要關注什麼
第一個訊號將是 NVIDIA OpenShell 周邊的技術文件與實作經驗：支援的環境、政策語言、對逃逸的抵抗能力，以及開發者如何在不破壞隔離的情況下將代理連接到工具。獨立研究人員也需要測試所承諾的核心層級邊界，是否能承受對抗性工作負載。
第二個訊號是 NVIDIA 是否會在真實代理流量下公布 NVIDIA Sentry 與 BlueField-4 DPU 的評估結果。可用的證據包括強制延遲、記錄覆蓋率、故障行為，以及當模型試圖繞過或掩飾自身行為時的系統效能。
最後，採用情況比發布本身更重要。請關注已命名的部署、與代理框架的整合、外部安全審查，以及企業能否在不同模型與硬體環境中使用這些控制，而不僅僅局限於 NVIDIA 偏好的基礎架構堆疊內。
Creati.ai 觀點
NVIDIA 的發布之所以重要，是因為它將代理安全視為控制平面與系統工程的挑戰，而不只是更好的提示詞或模型訓練問題。獨立強制執行，是對那些可透過工具行動、能長時間持續運作、並在含糊條件下表現不可預測的代理所做出的合理回應。
不過，這項公告仍只是一個參考架構，而不是安全問題已經解決的證明。它的價值將取決於執行環境有多可攜、政策機制有多透明，以及外部測試是否顯示，硬體層級監控能在不造成過高成本或營運負擔的情況下提升可靠性。
