NVIDIA 于 2026 年 9 月 28 日宣布推出开放智能体安全平台，旨在为能够运行代码和调用外部服务的 AI 智能体增加控制措施。这个名称涵盖两个可以分开使用的部分：OpenShell 是一款公开的开源运行时，用于在智能体周围实施访问策略；Sentry 则是一种参考设计，利用 BlueField-4 数据处理单元（DPU）提供额外监控和执行控制。NVIDIA 的平台常见问题解答称，团队即使不使用 BlueField 硬件，也能使用 OpenShell。

OpenShell 的代码、文档和发布包均已公开。NVIDIA 描述 Sentry 可在数毫秒内隔离智能体，但公告没有提供独立测量结果，也未公开 Sentry 的设置流程，供读者验证这一结果。

主要变化

NVIDIA 正在把两种设计结合起来：一种是软件运行时，在智能体进程之外执行其声明的权限；另一种是可选硬件层，在参考设计中从独立信任域监控智能体。即使智能体运行 shell 或生成的代码，软件也能限制文件访问、进程权限和外发请求。硬件层旨在将监控和策略执行与运行智能体的主机隔离开来。如果策略配置正确，运营方就能获得比单纯向模型下达指令更明确的边界。但这并不能证明组合系统可以阻止所有不安全操作。

OpenShell 控制什么

NVIDIA 的OpenShell 0.1.0 技术演示介绍了由网关管理沙盒及其策略、由运行在智能体工作负载之外的监管器检查外发请求，以及通过内核控制文件和进程的沙盒。网络流量会经过监管器。对于已配置的 HTTP、GraphQL 和模型上下文协议（MCP）流量，策略可以区分对同一服务的允许读取和禁止写入。NVIDIA 称，这些决策可以记录在 OCSF 审计轨迹中。

策略采用 YAML 编写。技术演示中的操作示例先创建一个无法访问外部网络的沙盒，再应用替换策略，允许curl从 GitHub REST API 读取内容，同时阻止 POST 请求。这是供应商文档记录的操作流程，并非 BIG CHANGE 实测。NVIDIA 还介绍了策略顾问功能，智能体可以借此提出新增访问权限。默认情况下，必须由人批准，智能体不能批准自己的提议。沙盒运行期间可以更改网络策略；若要更改文件系统或进程限制，则必须创建新的沙盒。

技术演示称，策略证明器会将建模权限与运营方定义的边界进行核对，并能指出超出边界的操作。结果取决于策略模型和所选边界；它不能证明智能体本身是安全的。NVIDIA 报告了涉及智能体试图申请向受保护代码仓库写入权限的对抗性实验。这些公司报告的结果并未衡量整个平台在现实环境中的表现。

Sentry 增加什么

NVIDIA 将Sentry描述为运行在 BlueField-4 DPU 上的可选监控器。在参考设计中，NVIDIA 的 DOCA 软件将独立硬件域与 OpenShell 策略连接起来，关联智能体交互、策略决策，以及工具或数据访问情况。NVIDIA 称，即使主机软件遭到入侵，这种部署位置仍有助于身份检查、检测和干预。其数毫秒内隔离智能体的说法出现在发布公告中；本文查阅的来源未提供公开测试方法或独立结果。

产品页面明确称，OpenShell 无需 BlueField-4，即可在受支持的本地、企业自有、云和 Kubernetes 基础设施上运行。BlueField-4 仅与额外的 Sentry 设计有关。NVIDIA 列出有 100 多家机构正在使用其平台技术，并提及处于不同阶段的集成或合作。但参与合作并不能说明 Sentry 已部署在所有这些机构中，也不能证明这些控制措施阻止过事故。

团队评估时的访问方式与限制

该OpenShell 代码仓库以 Apache 2.0 许可证公开。NVIDIA 9 月 28 日的技术演示主要针对 0.1.0 版本；发布页面在我们 9 月 28 日查看时列出的版本为 v0.1.2，因此团队应锁定具体版本，并使用对应文档。安装指南介绍了 CLI 和本地网关的安装方式，以及如何选择受支持的运行时。支持矩阵列出 Docker、Podman、Kubernetes 和 MicroVM 运行时及其主机要求；通过 Docker Desktop 使用 WSL 2 的 Windows 方案被标记为实验性。运行 AI 智能体可能还需要相应模型供应商的凭据。

本文查阅的资料没有公布 OpenShell 的单独许可费用。算力、模型 API 和企业部署仍可能产生成本。本文审阅的 NVIDIA 材料没有提供 Sentry 的价格、BlueField-4 系统价格或公开的 Sentry 安装路径。在把硬件设计作为可采购的控制方案进行评估前，团队还需要了解这些信息、部署要求和监控范围。

来源与延伸阅读