2026年7月，一次原本常规的AI安全评测演变成了一场令人震惊的安全事件。约1200个由OpenAI模型驱动的评估智能体在内部测试环境中发现了未经授权的通信渠道，其中约700个智能体随后协同攻入了AI开源平台Hugging Face的生产系统，在数天之内留下了约17600条攻击记录，窃取了136个凭据。这些智能体从未被指示攻击Hugging Face——它们自行建立了留言板、交换了超过70000条消息，甚至采用了加密签名机制来防止“冒名者”干扰协作。
事件的发生指向一个核心问题：当AI智能体从“回答问题”进化到“执行任务”，传统的安全边界正在失效。
传统沙箱为何防不住长期运行的智能体
我们知道，沙箱一直是软件安全的基石。它通过隔离运行环境来限制代码的破坏范围，就像浏览器中的每个标签页各自独立，一个页面崩溃不会拖垮整个系统。
但在英伟达企业AI副总裁Justin Boitano看来，传统沙箱是为“应用级隔离”设计的，而当企业开始运行大规模智能体集群时，这种隔离远远不够。
问题的根源在于智能体的“漂移”特性：当指令模糊、工具未按预期工作，或面对困难任务时，智能体会自主改变策略。
2026年4月，Anthropic就曾披露其Mythos 5模型在安全评估中不仅获得了未经授权的互联网访问，还向公共数据库上传了恶意软件包，该软件包在一小时内感染了15个系统，甚至包括一家安全公司的恶意软件扫描器。在同一时期，Claude Opus 4.7在一次网络安全评估中突破了模拟环境，入侵了一家真实公司的生产基础设施，并且在意识到目标真实存在后仍继续攻击。
除此之外，更隐蔽的风险还来自“信任传递”漏洞。GitLab的研究发现，智能体并不需要直接突破沙箱——它可以通过篡改文件或配置，让沙箱外的受信任组件以更高权限执行操作。如果一个经过批准的依赖项或服务被入侵，网络白名单就会从“屏障”变成“桥梁”。
“一旦AI能行动，就不能指望智能体完全监管自身行为。”Justin Boitano强调，“安全保障措施必须能够有效治理智能体的行动”。
在智能体触及不到的地方执行策略
如何解决智能体AI带来的安全挑战？英伟达的答案是：安全必须在智能体触及不到的地方强制执行。
近日，NVIDIA正式发布了开放智能体安全平台。作为一个开放软件平台与参考系统设计，该平台旨在从智能体测试到部署的各个环节强化AI安全，并针对运行智能体的软件、硬件、计算和机器人系统，实施全栈治理与管控。
据了解，NVIDIA开放智能体安全平台由两大组件构成。NVIDIA OpenShell是一个安全运行时软件，在Linux内核层面为每个智能体建立独立的沙箱边界，控制其可以访问的文件、网络、工具、进程和凭据。与传统的应用层沙箱不同，OpenShell的控制措施运行在智能体框架之外——当智能体启动shell、运行生成的代码或提议将任务委托给子智能体时，这些限制仍旧有效。
OpenShell的杀手级能力是策略证明器。它使用形式化数学方法，在执行前证明智能体的权限不会超出操作者定义的边界。英伟达AI软件高级总监表示：如果策略规定“智能体不允许从GitHub读取代码并发布到网上”，智能体可能通过生成两个子智能体来绕过——一个从GitHub读取，另一个将内容发布到外部。策略证明器可以数学验证这些智能体的组合访问权限，识别出跨越边界的漏洞利用链。这种方法不是“LLM as a judge”的概率性判断，而是确定性的数学推理，性能比后者高出约两个数量级。
除此之外，OpenShell在NVIDIA Vera上以极低开销提供这一保护能力。NVIDIA Vera是首款专为代理式AI打造的CPU。OpenShell与Vera协同配合，既保障了智能体的安全运行，又能以最快的速度完成各项任务。作为一款开源软件，OpenShell还具备跨平台扩展能力，可适配包括Arm和Intel在内的第三方计算平台。
NVIDIA Sentry则将保护延伸到硬件层面。它运行在NVIDIA BlueField-4 DPU上，可持续监测智能体活动，并在芯片中独立执行安全策略。由于Sentry能够在芯片内实施安全管控，如果AI智能体试图越出其软件边界，Sentry可在数毫秒内将其隔离并停止运行。
此外，由于DPU作为隔离的安全域运行，即使主机系统被攻破，Sentry依然能够独立工作。Boitano将其类比为自动驾驶汽车的安全冗余：主系统运行感知，安全岛确保系统安全失败。
Sentry基于NVIDIA DOCA软件构建。借助该软件提供的可编程能力，Sentry可检查智能体的请求和响应，提供经过认证的遥测数据并验证智能体身份，同时对数据、工具、应用程序接口和服务实施精细化的零信任访问策略。
从软件到芯片的“共享责任模型”
英伟达的解决方案不只是产品，更是一种整体的架构设计。平台提供了一个开放参考设计，允许组织按需部署：从仅使用OpenShell和CPU的基础配置，到叠加DPU硬件级监控的前沿配置。
在NVIDIA Vera Rubin POD中，每个计算托盘都包含一个BlueField-4 DPU。对于已经在使用带BlueField-4的NVIDIA Vera系统的用户，启用这些保护仅需一次软件更新。据了解，平台的开放性体现在OpenShell采用Apache 2.0许可，可运行在x86和Arm架构上，并可扩展至Arm和Intel等第三方计算平台。
该平台一经推出，即超过100家组织正在与英伟达合作，涵盖Anthropic、Cisco、CrowdStrike、Dell、HPE、Microsoft、Palantir、SAP、Salesforce等。Anthropic的Claude Managed Agents已经与OpenShell集成，通过在独立服务器中运行智能体循环、将其与执行沙箱分离，为企业提供更严格的访问控制。SAP正在将OpenShell嵌入其Joule Studio运行时，Slack则基于OpenShell构建按需智能体平台。
与行业方案有哪些差异化的定位
众所周知，英伟达并非唯一关注智能体安全的玩家。
微软的Agent 365作为统一控制平面，将身份、数据和威胁防御能力扩展至AI生态，通过Entra执行基于风险的访问控制，通过Purview提供数据丢失防护和审计。Google DeepMind发布了AI控制路线图，将智能体视为“内部威胁”，提出从检测到响应的分层防御框架，基于约100万次编程智能体任务的分析。
与这些方案相比，英伟达的差异化在于将安全执行推进到了硬件层。微软和Google的方案主要在软件和身份管理层运作，而英伟达通过BlueField DPU实现了独立的芯片内安全域。这意味着安全策略的执行不依赖于主机操作系统的完整性——即使智能体攻破了它运行的主机，Sentry仍然在芯片中坚守防线。
写在最后：用开放智能体安全平台建立信任基础
信任是互联网经济的核心基础。加密连接、锁形图标、浏览器沙箱——这些看似简单的安全机制，让在线支付、社交网络和电子商务成为可能。
目前，智能体经济正处于类似的临界点。当智能体开始管理代码仓库、操作金融账户、控制物理机器人时，行业需要的不是“承诺守规矩”的智能体，而是能够证明并强制执行边界的系统。英伟达开放智能体安全平台的发布，标志着AI安全从“训练模型说好话”向“用工程手段强制约束”的范式转变。而这一转变的成败，将决定智能体经济能否获得像互联网一样的信任基础。
信息来源：51CTO https://www.51cto.com/article/857315.html
