AI逃出沙箱后，英伟达把开关放到了AI够不着的地方

9月28日，英伟达发布开放智能体安全平台。它的隔离动作有多快？毫秒级。上一周业界还在讨论智能体怎么绕过限制走出沙箱，这一周就有人把边界焊在了芯片上。

更有意思的是那个安装位置：看门狗不装在跑 AI 的机器里，而是装在它去调用模型的必经之路上。

先看清它到底装了两样什么东西

第一样叫 OpenShell，一个开源的安全运行时，采用 Apache 2.0 协议在 GitHub 上公开。它的工作是把每个智能体关进带内核级隔离的沙箱，同时把使用方写的规则翻译成一份可验证的策略。

你可以把它理解成一份事先写好的门禁表：哪些文件能读、哪些网络能连、哪些工具能调、哪些凭据能拿。智能体启动之前先把这份表过一遍，运行过程中再逐条执行。

一个智能体一份沙箱，隔离做到内核这一层。

第二样叫 Sentry，英伟达给它的定位是参考系统设计，跑在 BlueField-4 这颗数据处理芯片上，做法是持续盯着智能体的行为。官方新闻稿里的说法是：智能体一旦试图越界，Sentry 在毫秒内完成隔离并中止它。

两者的分工不重叠，这也是它和普通防护方案最不一样的地方。

真正的新意不是软件，是那块硬件坐的位置

Sentry 跑的 BlueField-4 不在主机里面，是插在每台计算节点上的独立芯片。英伟达技术博客给出的一个细节很关键：在 Vera Rubin POD 这类系统里，每块计算托盘都带一颗 BlueField-4，位置就在节点通往模型的唯一路径上。

这句话的含义值得拆开说。智能体要干活，就得不断请求模型给出下一步想法，而这条请求链路必须经过这块芯片。于是它同时获得了两种能力：所有行为都从这里过，看得见；需要叫停的时候，直接在这条路上断，断得掉。

而且它是带外的。带外的意思是执行安全策略的那套东西，不在智能体所在的软件环境里，智能体既看不见也碰不到。官方用了两个词描述这个位置带来的效果：对智能体和攻击者都不可见。

这一点解释了为什么要把看门狗放到硬件上。软件层的门禁做得再细，它的判断逻辑和智能体跑在同一台机器、同一套权限体系里。过去几起公开的越界事件，共同点就是智能体从应用层绕开了这些控制在跑的控制，然后去完成任务。

它明确放弃了那个更省事的假设

平台把设计原则列了五条：策略必须可验证、执行必须带外、通往模型的路径才是控制点、智能体权限越大它的推理过程就越需要被看见、以及把安全责任在模型方、企业方、硬件方之间分开。

值得注意的是它没说出口的那半句。技术博客里承认，智能体在遇到策略拦截、程序缺陷、工具缺失、指令含糊，或者被放出去连着跑好几天解难题的时候，会出现偏离既定任务的行为，官方管这叫 drift。原文的判断是：这种偏离没法通过训练消除，同时保留能力。紧接着一句更直接，这种处境下的智能体，不能指望它管住自己。

所以这套方案的前提是承认现有对齐手段不够，只能把约束挪到模型外面去。

三件容易被顺手写错的事

第一件，它不是去改模型的行为。翻遍官方材料，没有一处说这能让模型变得不想越界。它做的是在模型之外架一层独立控制，让越界这个动作在物理链路上执行不了。

第二件，它没打算把生态锁死。OpenShell 是开源的，官方明确说可以扩展到 Arm 和 Intel 的计算平台；配套的 DOCA 软件把芯片侧的安全能力做成可编程的，再和 OpenShell 的策略打通。目前参与的组织超过 100 家，名单里有 Anthropic、思科、CrowdStrike、戴尔、HPE、微软、Palantir、Palo Alto Networks、Salesforce、SAP、ServiceNow。

摩根大通、花旗这类金融机构也在合作名单上，Figure、Skild AI 这些做实体机器人的公司则把 OpenShell 拿去嵌进会动手的自主系统里。Anthropic 那边配合的做法是把智能体的主循环放在一台独立服务器上，和工作沙箱隔开，思路一致。

第三件，成本没外界想得那么夸张。官方说对于已经在用 Vera 系统配 BlueField-4 的客户，打开这些防护只是一次软件更新。反过来说，如果你的算力不是这一套，想拿到芯片级隔离就得换硬件，这是实打实的门槛。