自主智能体正在从“回答问题”走向调用工具、访问数据、执行代码乃至控制设备。能力越强，越不能只依赖提示词或模型自律。2026年9月28日，NVIDIA发布Open Agent Safety Platform，以OpenShell安全运行时和Sentry硬件侧监控构建分层防线，把智能体的权限、行为与基础设施隔离纳入同一套治理框架。问题也随之而来：硬件级隔离，能否真正成为自主智能体的安全底座？[1][2]
从“模型守规矩”转向“系统强制执行”
传统生成式AI主要输出文字，风险通常集中在内容准确性、隐私泄露和不当信息生成。自主智能体则可能连续运行较长时间，并通过网络、数据库、文件系统、API和企业应用完成任务。一旦目标理解出现偏差，或者遭遇提示注入、权限配置错误和工具链漏洞，后果可能不再是一段错误回答，而是未经授权的真实操作。
NVIDIA此次提出的核心思路，是不能要求智能体同时充当执行者和自己的安全管理员。OpenShell在运行时建立沙箱边界，控制智能体能够访问哪些文件、进程、凭据、网络目标和外部工具；Sentry则运行在BlueField-4 DPU上，在主机之外持续观察智能体活动并执行策略。按照官方介绍，当智能体试图突破既定边界时，Sentry可在数毫秒内实施隔离。NVIDIA技术说明NVIDIA中文公告
硬件级隔离解决了什么问题
第一，降低“应用层规则被绕过”的风险
提示词、安全分类器和应用权限都位于智能体能够直接或间接影响的软件环境中。复杂任务执行时间越长，越可能出现策略冲突、上下文漂移或异常工具调用。硬件侧的带外监控不依赖智能体主动配合，即使主机软件受到攻击，独立信任域仍可保留观察、记录和阻断能力。这与浏览器沙箱、可信执行环境和数据中心DPU承担基础设施安全任务的逻辑相似，即在业务代码之外建立不可轻易修改的强制边界。平台概览行业报道
第二，把最小权限落实到执行路径
自主智能体的安全不能停留在“禁止做什么”的文字规定，而应转换为机器可以验证和执行的策略。例如，客服智能体可以读取订单状态，但不能导出整批客户资料；编程智能体可以修改测试目录，却不能直接访问生产凭据；办公智能体可以生成付款申请，但不能跳过人工审批。OpenShell负责定义运行边界，Sentry负责提供独立监测，使最小权限原则从制度要求变成可执行的访问控制。
第三，为审计和责任追踪提供基础
面对能够自主规划并连续调用工具的系统，仅保存最终答案远远不够。企业还需要知道智能体使用了什么身份、访问了哪些资源、触发了哪条策略，以及隔离动作发生在什么时间。NVIDIA称Sentry可结合DOCA检查请求与响应、验证智能体身份，并生成经过认证的遥测记录。若这些记录能够保持完整、可解释且可供外部审计，就有助于事故复盘和责任界定。[3][4]
放在“九不准”和“七条底线”框架下怎么看
以守法、公共利益、社会秩序、信息真实性和公民合法权益为基本边界，智能体治理不能只检查最终生成的内容，还必须约束信息来源、工具权限和实际行动。硬件隔离可以为此提供执行基础，但二者并非简单对应关系。
- 法律法规底线：将受监管数据、关键业务系统和高风险操作划入独立权限域，默认拒绝未经授权的跨域访问。
- 公民合法权益底线：对个人信息读取、批量导出、身份关联和对外发送设置更严格的授权、脱敏与审计规则。
- 社会公共秩序底线：对大规模自动发布、批量账号操作、机器人控制和网络扫描设置频率限制、异常检测与紧急停止机制。
- 信息真实性底线：要求智能体保留资料出处、工具调用结果和关键决策链，避免把无法验证的推断直接转化为业务动作。
- 组织责任底线：对付款、解雇、医疗处置、公共设施控制等高影响事项坚持人工复核，不能把硬件隔离当作自动免责工具。
因此，合规要求回答的是“哪些行为不应发生”，硬件隔离解决的是“如何阻止越权行为并留下证据”。只有把法律规范、企业制度转译成明确的身份、资源、网络和工具策略，技术底座才有实际治理价值。
为什么它还不能独立承担全部安全责任
首先，硬件能够阻止越界，却未必能判断任务本身是否合理。如果管理员错误地授予智能体删除数据库、发送资金或控制设备的权限，那么智能体在授权范围内执行危险操作时，隔离机制可能不会触发。安全边界的质量最终取决于权限设计、策略验证和业务流程。
其次，带外监控并不等于理解所有语义风险。智能体可能通过合法API提交带有误导性的内容，也可能在多步操作中逐渐造成不良后果，而每一步单独看都符合规则。这类问题仍需要模型评估、内容治理、行为检测、人工审批和事后审计共同处理。
最后，开放性和可移植性仍要接受实际部署检验。NVIDIA表示OpenShell可扩展至Arm和Intel等第三方计算平台，但Sentry的重点参考架构与BlueField-4 DPU紧密相关。企业在采用前应验证策略格式是否可迁移、审计数据能否导出、故障时能否安全降级，以及安全能力是否会形成新的供应商依赖。官方发布说明CNBC报道
企业落地时应优先做什么
- 先做资产和权限清单：明确每个智能体能够访问的数据、工具、网络目标和凭据，删除“为方便运行”而配置的宽泛权限。
- 按风险分级部署：信息检索类任务可以侧重审计，高影响业务则应采用沙箱、带外监控、双人审批和硬件紧急停止。
- 把策略写成可验证规则：避免“不得造成风险”之类模糊表述，改为具体的目录、接口、身份、额度、时间窗口和调用频率限制。
- 持续开展逃逸测试：使用提示注入、凭据诱导、异常工具返回、网络中断和长任务漂移等场景，验证隔离与告警是否真正生效。
- 保留人工控制权：为高风险行动设置明确的暂停、撤销和升级路径，确保人员能够理解告警并及时接管。
总结
硬件级隔离有望成为自主智能体的重要安全底座，因为它把安全控制从容易被绕过的应用层下沉到运行时和基础设施层，为最小权限、持续监测、快速隔离与可信审计提供了更坚实的执行位置。但它不是万能保险，更不能替代合规判断、权限设计、模型安全和人工监督。更现实的结论是：未来可靠的智能体系统不会依赖单一防线，而会形成“内容规则明确边界、软件运行时限制行为、硬件层独立执法、人工机制处理例外”的纵深治理体系。
事件及资料日期：
2026年9月28日：NVIDIA正式发布Open Agent Safety Platform。NVIDIA Newsroom
2026年9月28日：NVIDIA发布平台技术说明，介绍OpenShell、Sentry及芯片内持续监控设计。NVIDIA Technical Blog
2026年9月28日：CNBC报道该平台的自主智能体约束机制及行业背景。CNBC
资料核验日期：2026年9月29日。
