英伟达发布 OpenShell 参考架构，把 AI 智能体的安全与治理移出模型之外

10 月 21 日，英伟达在开发者技术博客中发布 NVIDIA OpenShell 参考架构，给出了一套把安全与治理下沉到基础设施层的方案，用于在规模化 AI 智能体（agent）工作负载中约束智能体可以访问的系统和数据。文章给出的前提很直接：智能体可以连续数小时执行复杂任务，读取文件、调用工具、访问互联网，甚至派生新的智能体协同工作，风险会随之累积。

英伟达的判断是，智能体无法自我治理，安全与治理必须由它所运行的基础设施来提供。OpenShell 因此被设计成一个开源运行时，在整个执行过程中把智能体负载当作不可信对象处理，只按需授予访问权限，权限范围覆盖文件、互联网服务，以及与被控物理设备交互的系统。

按博客描述，OpenShell 由四个组件构成：Gateway 作为控制平面管理沙箱生命周期与策略；Supervisor 在沙箱之外独立运行，校验对外请求并代理凭据访问；Sandbox 隔离智能体工作负载，限制文件系统与进程权限；Policy prover 引入形式化验证，检查一条策略授予的权限是否超出组织设定的上限。此外，Supervisor 中间件可以检查、阻断或改写智能体经网络收发的数据，Gateway 拦截器则允许运维方在不改动网关本身的情况下加入部署特定的治理逻辑。

在这套参考架构里，OpenShell 运行在英伟达 Vera CPU 上。英伟达把 Vera 定位为智能体循环的算力底座：88 个自研 Olympus 核心、第二代 Scalable Coherency Fabric、LPDDR5X 内存与 PCIe Gen 6 I/O。官方给出的数字是，在关键智能体负载上相对 x86 最高 2 倍性能，核间带宽最高 3 倍、核间延迟低至多 50%，内存带宽最高 1.2 TB/s，每瓦性能是 x86 的 2 倍。

外部实测数据来自 AI 云平台 CoreWeave。CoreWeave 测得的沙箱启动速度在 Vera 上比 x86 快 3 倍以上，单个机架可支撑超过 11000 个并发智能体环境；在覆盖脚本编写到数据库恢复等 20 个真实任务的 Terminal Bench 测试中，智能体循环完成速度快 1.8 倍。

对需要更强隔离的部署，架构还引入硬件层。BlueField-4 DPU 在 Vera 上的智能体与其访问的模型之间提供独立信任域，基于 DOCA 的安全框架 NVIDIA Sentry 在该域内持续观察请求与响应、网络与文件活动，校验身份与委派权限，并可分析部分主机内存以发现偏离授权行为的情况。一旦判定违规，BlueField-4 在芯片层执行策略，Sentry 可在毫秒级隔离该智能体。

这套组合的意义在于把智能体治理从提示词和模型侧挪到不可被智能体改写的系统层。长时程任务的风险不是单次调用的错误，而是权限、凭据与工具链在数百步操作中逐步扩张；参考架构试图用沙箱生命周期、凭据代理和形式化策略验证把这种扩张关在笼子里，并用硬件隔离作为最后一道闸门。

接下来的看点有三个：Vera 与 OpenShell 的性能数字能否被英伟达之外的团队在真实生产环境中复现；开源的 OpenShell 能否被主流智能体框架和编排系统实际接入，而不是停留在参考架构文档里；以及当企业把智能体放进涉及敏感数据的流程时，Policy prover 的形式化验证能否覆盖足够复杂的组织策略。