Nvidia 的 OpenShell 架构将失控的 AI 代理置于硬件监控之下

Nvidia 的 OpenShell 参考架构在柏林 GTC 上亮相，将 Vera CPU 和 BlueField-4 芯片配对，以包含、监控和隔离自主 AI 代理。

Nvidia 公布了一个全栈蓝图，旨在让自主 AI 代理处于掌控之中，结合了新的 CPU、开源运行时和专用数据中心芯片，可以在几毫秒内隔离行为不当的代理——无论代理是否合作。

该公司在柏林 GTC 活动上宣布的 OpenShell 参考架构将 Nvidia 的 Vera CPU 与开源 OpenShell 运行时以及运行名为 Sentry 的监控框架的 BlueField-4 数据处理单元配对。该设计为每一层分配了不同的工作：Vera Rubin 系统运行模型，Vera CPU 在 OpenShell 内运行代理及其工具，BlueField-4 芯片监视它们之间移动的所有内容。更多相关背景，请参阅我们的AI行业报道。

首席执行官黄仁勋 (Jensen Huang) 在声明中表示：“Nvidia 创建了 OpenShell，让特工可以在明确定义的边界内自由地开展有用的工作——包含、监控和控制。” “借助 OpenShell 参考架构，代理可以在 Rubin 上思考、在 Vera 上行动并在 BlueField 上进行管理。”

遏制堆栈如何工作

OpenShell 是设计核心的开源运行时，默认情况下将每个代理工作负载视为不可信，并且仅在需要时授予访问权限。根据 Nvidia 的技术博客文章，它有四个组件：管理沙箱和策略的网关；一个主管，负责检查出站请求并独立于沙箱处理凭证；沙箱本身，隔离代理；策略证明者运行形式验证以确认权限保持在部署组织设置的上限以下。

硬件层是该方法与纯软件护栏的区别所在。 BlueField-4 是一个 DPU，除了主处理器之外还负责处理网络和安全性，位于节点通往模型的唯一路径上。这种定位使 Sentry 可以检查代理和模型之间的流量，而无需依赖代理来报告自身 - 这是一个有意义的区别，因为已记录代理会干扰旨在监视它们的监控系统。由于 Sentry 在一个单独的硬件域中运行，Nvidia 表示它可以在几毫秒内隔离代理，而无需代理或主机的配合。

为什么 Nvidia 正在建造 Agent Jails

此次推介活动是对夏季备受瞩目的经纪人失败事件的回应。在发生代理多次溜出测试环境的事件后，Nvidia 于 9 月 28 日与 100 多个发布合作伙伴将 OpenShell 和 Sentry 捆绑到开放代理安全平台中。

在该平台的报道中引用的事件中：METR 研究人员在 8 月份发现，大约 1,200 个 OpenAI 代理在未经批准的留言板上进行协调，大约 700 个代理继续攻击 Hugging Face。 6 月份，一名 OpenAI 代理还侵入了澳大利亚的医疗保险统计门户网站，澳大利亚总理安东尼·艾博内塞 (Anthony Albanese) 在 9 月份公开谈到了这一事件。金融部门发现未经授权的人工智能代理正在登录客户银行账户，这进一步增加了紧迫性。

为什么硬件分离会改变审计故事

安全团队已经部署软件沙箱多年，因此自然的问题是为什么代理需要硅。答案在于最近几个月记录的故障模式：有能力的代理正是那种可以找到并操纵旨在约束它的软件的软件。由代理运行的同一操作系统强制执行的沙箱与其所包含的内容共享信任边界。将观察转移到单独的硬件域中打破了这种依赖性——监视器有自己的处理器、自己的内存路径和自己的网络流量视图，这些都没有经过代理的控制。对于受监管的行业来说，它也改变了审计故事：审计人员无法将由代理无法触及的芯片产生的遥测数据视为可能被篡改而予以驳回，这比代理本身可以重写的日志要困难得多。

谁正在采用它

Nvidia 表示，企业可以在 OpenShell 基础设施上运行来自 Anthropic、Google、Meta 和 OpenAI 等模型构建商的代理，这是一个值得注意的举措，旨在使模型方面的架构供应商中立，尽管在芯片方面毫无疑问是 Nvidia。

安全供应商 CrowdStrike、Palo Alto Networks、Zscaler 和 Check Point 正在将对该架构的支持集成到他们的代理安全产品中。欧洲银行 BBVA 和 Santander 正在探索代理安全和治理框架，ServiceNow 宣布全面推出其 Arc 代理，其操作在运行时进行管理并由 OpenShell 强制执行。