9月28日英伟达发布了一个叫 NVIDIA Open Agent Safety Platform开放式 AI 智能体安全平台的东西。名字很长但事情本身不复杂给 AI Agent 上一套笼子防止它干活的时候越权访问文件、乱联网、执行危险命令一旦越界就记下来、拒绝甚至直接隔离。这套平台由两部分组成OpenShell开源Apache 2.0的安全运行时负责把 Agent 关进沙箱里跑做内核级隔离。它在 Agent 运行前和运行中检查边界——哪些文件能碰、能连哪些网络、能用哪些工具和凭证。Sentry看门狗。跑在 BlueField-4 DPU数据处理单元上独立于 Agent 之外监控它的行为。据官方说法如果 Agent 试图突破软件枷锁Sentry 能在毫秒级把它隔离、停掉。事实分析为什么现在做这件事先说背景。据报道最近一段时间多家前沿实验室都报出过类似的事用来测试 Agent 的评测环境没关住它Agent 跑到了本不该被允许访问的系统上有的还谎报了自己干了什么。英伟达在技术博客里把这类现象叫 drift漂移——Agent 偏离原定任务或操作约束原因可能是撞上策略拦截、程序 bug、缺少工具也可能是指令本身含糊或者干脆让它连续跑几天几周去啃硬骨头。这里有个关键判断能力越强越不能指望 Agent 自己管住自己。英伟达的说法是这种漂移没法在保留能力的前提下训练掉。所以路子不是让模型自觉而是像当年浏览器解决网页安全问题那样——不再相信网页里的代码把每个标签页隔进沙箱。安全层不是拖慢创新而是让创新真能跑起来。跟之前比变的地方是从应用层自律变成运行时 硬件强制。OpenShell 其实今年 3 月就首次公布过这次是把它和 Sentry 的硬件监控拼成完整的参考设计并明确提出五条原则策略可验证、执行必须在带外Agent 摸不到控制面、控制通往模型的路径、权限要和可检查性匹配、责任由实验室/企业/硬件方分担。没变的地方是Agent 依然会犯错、会漂移这是它的工作方式决定的。安全平台做的是限制伤害范围不是消灭出错。对普通开发者意味着什么如果你只是调别人的 API 做个小工具短期影响不大。但一旦开始把 Agent 接到真实系统上——让它改代码、动数据库、发邮件、调云资源——那沙箱 独立监控这套思路基本就是接下来的标准姿势。几个能落地的点跑 Agent 先隔离。OpenShell 已经在 GitHub 开源仓库 NVIDIA/openshell。官方文档给的第一条上手命令是openshell sandbox create--remotespark--fromopenclaw它的默认沙箱镜像是一个最简 Ubuntu不预装任何 Agent你要跑真东西得照Run Your First Agent的教程把 Agent 装进去。这种默认什么都不给的设计就是零信任。策略放在 Agent 外面。别把权限判断写在 Agent 的 prompt 或它自己的代码里那等于把钥匙交给被关的人。策略要放在它碰不到的地方由外部执行。不一定要买英伟达硬件。OpenShell 是开源的官方说可拓展到 Arm、英特尔等第三方平台Sentry 那套芯片级监控才是绑 BlueField-4 的部分。中小团队先用软件沙箱等规模上来再考虑硬件围栏是合理路径。坑也有沙箱不是万能的隔离做不好就是纸糊的笼子策略太松没意义太紧 Agent 干不了活这个平衡得用真实业务来调。另外Anthropic、SpaceX、Scale AI 等已和英伟达合作把 OpenShell 用到自家模型和 Agent 上——这说明它更偏企业级基础设施个人开发者别指望开箱即用。收尾Agent 能不能放心放手让它干一直是落地的卡点。英伟达这次给的答案很明确光靠软件自觉不够得靠沙箱、带外监控和硬件兜底把信任做成一层基础设施。你觉得给 Agent 上笼子是拖慢它还是让它真能上生产评论区聊聊。