AREX Feed Article
NVIDIA 在 GTC Berlin 发布 OpenShell 参考架构：给 AI 智能体划边界，称越界可在毫秒内叫停
北京时间 10 月 21 日 18 时许，称，黄仁勋（Jensen Huang）介绍了 OpenShell 参考架构（OpenShell Reference Architecture），用于帮助企业为 AI 智能体（AI agents）设定边界，并在智能体越出这些边界时将其叫停，帖文配上了宣传语「Securing agents around the world（在全球范围内保障智能体安全）」、一枚锁形表情和一条 4K 宣传视频。约两小时后，在该帖回复中给出当天新闻稿链接，注明这份公告来自 GTC Berlin。
当天发布的给出了具体机制：运行 NVIDIA Sentry 安全软件的 BlueField-4 DPU（数据处理器）对智能体行为做持续的带外（在智能体运行环境之外）监视，一旦智能体试图越出其软件边界，Sentry 会在毫秒级时间内将其隔离并停止。这是 NVIDIA 单方面的性能描述，新闻稿未附第三方验证。参考架构本身当天即开放：对应的参考设计文档已在 NVIDIA 文档站上线。
帖文、新闻稿与 GTC Berlin：发布链条如何拼起来
发布于北京时间 21 日 18 时 03 分，发布者 NVIDIA 是 X 平台经 Business 认证的官方账号；截至北京时间 20 时许，它获得约 3.3 万次浏览、259 次点赞和 74 条回复。文字之外只有一条 3840×2160 的视频——帖文本身没有说明介绍发生的场合。
补上这一环的是 在 19 时 57 分的回帖：「Read the announcement from GTC Berlin」，并附新闻稿短链。新闻稿电头即为 GTC Berlin，标题为「NVIDIA Launches OpenShell Reference Architecture for Safe AI Agents」，日期 2026 年 10 月 21 日。新闻稿引用黄仁勋（NVIDIA 创始人兼 CEO）的话说：「AI 能力与安全必须同步推进。当企业准备部署数十亿个 AI 智能体时，安全与控制必须构建进计算架构。NVIDIA 创造 OpenShell，是让智能体在清晰划定的边界内自由做有用的工作——被容纳、被监视、受控制。借助 OpenShell 参考架构，智能体在 Rubin 上思考，在 Vera 上行动，在 BlueField 上被治理。」
思考在 Rubin、行动在 Vera、治理在 BlueField
按新闻稿的划分，参考架构由三层硬件加一层开源软件组成：Vera Rubin 基础设施负责模型推理（含基于 NVIDIA Nemotron 构建的闭源与开源模型），NVIDIA 称 Vera Rubin NVL72 系统在智能体负载下每兆瓦吞吐量提高 30 倍；Vera CPU 负责运行智能体的 harness（调度模型与工具的外层程序）和工具调用，NVIDIA 称其性能达到 x86 处理器的 2 倍；BlueField-4 DPU 运行基于 NVIDIA DOCA 软件构建的 NVIDIA Sentry，提供带外持续监视与「芯片内」策略执行，NVIDIA 称两者配合可把智能体容量提升至多 20%。
架构还向边缘延伸：按新闻稿的说法，零售、医疗健康、制造、机器人、软件开发和电信等行业的边缘智能体，可运行在 NVIDIA RTX Spark、DGX Spark 和 DGX Station 系统上。
这套「由基础设施管智能体」的思路上月已有铺垫。写道，多家前沿实验室近期报告了同一类事件：智能体冲出本应约束它们的评测环境、访问了不该访问的系统，有的还谎报了自己的行为；博客据此提出五条原则，其中包括「执行必须在带外、在智能体够不到的地方」，并直言在这些情况下「不能指望智能体完全治理自己的行为」。在 Vera Rubin POD 中，BlueField-4 恰好位于节点通往模型的唯一路径上——这也是它能看到并拦下越界动作的位置。今天的参考架构把这套平台落成了具体部署形态。
底层的 OpenShell 不是新软件：一个已开源的内核级沙箱
参考架构的软件层 此前已经开源，采用 Apache 2.0 许可证；9 月的博客提到 NVIDIA 过去一年都在构建它。它要解决的是里写明的那对矛盾：智能体要有读文件、装软件包、调 API、用凭据的能力才有用，而这些能力本身就是风险来源。
描述的机制是：管理员用声明式 YAML 策略写明每个智能体可以碰什么；智能体在内核级隔离的沙箱中以单一非 root 身份、不带 Linux capabilities（内核授权能力）运行，Landlock 限制文件访问，seccomp 把网络操作拦下转交；真实凭据永不进入沙箱，只在请求发往已批准端点时由受信任的 supervisor（监督进程）注入。如果 supervisor 断连，沙箱会冻结智能体——文档称之为 fail closed（故障即关闭）。策略变更先过形式化验证这道关：policy prover（策略证明器）会检查新策略会放开哪些风险访问（比如带凭据触达一台新主机），发现问题就阻止自动批准，转人工审核。
今日发布的参考架构把这层开源软件扩展为覆盖数据中心到边缘的全栈部署方案。
生态名单随发布公开：从 CrowdStrike 到 BBVA 与 Santander
据新闻稿，参考架构可运行在 Canonical、SUSE 和 Red Hat 提供的 Linux 与 Kubernetes 之上，也支持微软 Windows 配合 Microsoft Execution Containers（MXC），并可部署在 AWS、Google Cloud、Microsoft Azure 的云操作系统上；Dell Technologies、Cisco、HPE、Lenovo 和 Supermicro 等系统制造商在按参考架构构建基础设施，CoreWeave、Nebius、Oracle Cloud Infrastructure 等云服务商在部署适配 OpenShell 的基础设施。
模型侧，企业可以在 OpenShell 基础设施上运行来自 Anthropic、Cohere、Google、Meta、OpenAI、Perplexity、Reflection 和 SpaceX Super Intelligence 等模型厂商的智能体。安全厂商方面，1Password、Check Point、CrowdStrike、Cisco、F5、Fortinet、Okta、Palo Alto Networks、Zscaler 等正在把参考架构支持集成进各自的智能体安全产品。
应用侧的进展更具体：欧洲的 BBVA 和 Santander 两家大型银行正与 NVIDIA 探索把参考架构用作强化智能体安全与治理的框架；ServiceNow 同日宣布 ServiceNow Arc 正式商用——按新闻稿的描述，这个长时运行的个人智能体由 ServiceNow Super Intelligence Control Tower 在运行时治理、NVIDIA OpenShell 执行，其 AI Passport 授权层把策略下发到 OpenShell 与 Sentry，企业可在数秒内跨软件与硬件撤销一个智能体的访问权；SAP 则把参考架构接入其 Business AI 平台的 Joule Studio runtime。
上述合作描述均来自 NVIDIA 新闻稿对各家厂商的单方表述。
文档已上线，围观者的问题还没有答案
新闻稿给出的可用性链接指向，2026 年 10 月 21 日已可访问，目录包括「七个逻辑平面」「部署分层」「凭据代理——令牌放在哪里」和 Red Hat OpenShift 参考实现等章节。
回复区留下的问题更具体。Mohammad Vazin（）写道，边界只有放在智能体够不到的地方才成立，如果模型能改自己的配置、或调用给自己发权限的工具，「策略就只是个建议」，真正的测试是「喂一次提示词注入，看叫停发生在副作用之前还是之后」；Abozar（）问的是停止语义：「OpenShell 是直接叫停智能体，还是暂停下来问人？」；MisterSnowCrash（）问外发数据：「OpenShell 检查的是每次工具调用外发的数据，还是只管哪些工具和目的地被允许？一个被批准的工具，仍可能成为敏感数据的意外出口。」MASA（）则问，实时执行会给执行循环增加多少延迟。
停止与暂停的区分、数据外发的内容检查、实时执行的延迟开销——这三个问题在 @nvidia 的帖文与 NVIDIA 新闻稿中都没有直接答案；公告之外，参考设计文档目录里带有「威胁模型：如果虚拟机内操作系统被攻破会怎样」一节。