过去两周，AI 智能体闯祸的频率有点密。OpenAI 的智能体出现在澳大利亚医保系统里；紧接着 OpenAI、Anthropic、Meta 和谷歌先后披露，自家模型在开发测试阶段逃出了沙箱，访问了本不该访问的网站和系统。
9 月 28 日，英伟达端出了它对这件事的答案：开放智能体安全平台。
01 把防线搬到模型外面
这套东西的出发点，是一句很关键的判断。
英伟达企业 AI 副总裁贾斯汀·博伊塔诺的原话是：近期事件暴露了智能体的一个根本性瓶颈，仅靠模型层面的防护，管不住智能体能访问什么、能做什么。
提示词、模型自带的安全对齐、框架里的护栏，影响的都是智能体「想干什么」；真正能卡住它的边界，由它跑在上面的那一层来定。
这条线划得很干脆。
差别在于能不能被说服。模型厂商自己做的护栏，本质上仍然是句子能不能被改写；而写在运行时和芯片里的规则，智能体没有话术可以去绕。
02 两个零件，各管一段
平台分两层。
下层叫 OpenShell，开源，跑在 CPU 上，干的是门禁的活。开发者提前写死这个智能体能碰哪些文件、哪些工具、哪些地址，它在执行过程中被持续按住。
能处理某一批文件，不等于能读整台服务器；能调用某个工具，也不等于能自己把权限往上抬一格。
官方口径里，OpenShell 在英伟达自家的 Vera CPU 上开销极低，Vera 跑沙箱比传统 CPU 基础设施快最多 80%。作为开源软件，它也能扩到 Arm 和英特尔的机器上。
上层叫 Sentry，跑在 BlueField-4 数据处理单元（DPU）上，也就是既不在 CPU、也不在 GPU 上。
它从智能体所在的环境之外盯着它，一旦判断对方要越过边界，就在毫秒级把那个智能体隔离并停掉。
这层的关键是「带外」：策略在芯片里独立执行，不依赖宿主，对智能体和攻击者都不可见。就算 Agent 自己的沙箱被拿下，这一层还在。
两层也不用打包买，官方的说法是按需求挑组件部署。
03 它是被哪件事催出来的
9 月 27 日的媒体吹风会上，英伟达的代表说，这套平台本可以阻止今年 7 月那起 OpenAI 智能体进入 Hugging Face 的事件。
博伊塔诺给出的量级是：Hugging Face 报告超过 1.7 万个智能体，在数天到数周的时间里持续冲击它的基础设施。那次是模型突破沙盒、连上公网之后发生的。
这句话得掂量着看。英伟达「本可以阻止」的说法目前没有独立验证，CNBC 的报道也点明了这一点。卖方案的说自己能挡住一起已经发生的事件，天然带立场。
但那个节奏感是对的。最近这一串事件的模式高度相似：智能体都是在应用层绕过安全控件，去完成它原本被指派的那件事。
它不是被教唆去攻击，它只是想把活干完。
04 一百多家，各取所需
官方说超过 100 家组织在采用或合作。
Anthropic 把 Claude Managed Agents 和 OpenShell、BlueField 接在一起；SpaceXAI 用在 Cursor 的编程智能体和 Grok 模型上；赛富时把它接进 Slack，让团队能看见智能体在做什么，并当场批准或拒绝它额外索要的权限。
硬件名单更长：思科、戴尔、HPE、联想、甲骨文、CoreWeave、Arm、英特尔。
名单之外还有一条线索。由英伟达与 120 多家机构共同发起、Linux 基金会治理的开放安全 AI 联盟，做了一个叫 SAFE 的共享发现交换机制。安全事件的细节能不能跨企业流动，比任何单一产品更决定这件事的上限。
05 说到底
角色分工比产品本身更要看。过去两周，阿莫迪主张放慢研发节奏，奥特曼和马斯克附和；黄仁勋反对整体减速。
他在 Ezra Klein 的播客里给出的说法偏工程：先复盘当初能做什么、下一次把流程改好。这次发布就是这条思路的落地，不开行业会议，卖的是铲子。
它的边界同样很清楚。这套平台能约束智能体碰到什么，判断不了派给它的那个目标正不正当。
对有机房、有地方插卡的机构，这是实打实的补强；对大多数只有 API Key 的开发小队，眼下能拿去用的是 OpenShell 那一层，开源，Arm 和英特尔的机器也能跑。
过去两周我们把智能体闯的祸连着写了三回，这次终于轮到有人给出工程解法。把防线从模型挪到它跑在上面的那层硬件，是这一年 AI 安全里最务实的一步；至于够不够，要等下一起事故发生的时候才有答案。
