企业官网建设流程全解析

⚠️ 说明：本文基于公开报道整理，涉及企业与产品信息以官方发布为准。

一、几十亿个智能体，谁来看着它们

先说背景。

企业准备部署的AI智能体，不是几个、几十个，而是奔着几十亿个去的。数量一上去，安全就不能再是事后加装的东西——官方给出的思路，是把治理直接构建到计算架构里，从底层长出来，而不是往软件上插个插件、装层防火墙。

这个方向，跟过去所有AI安全的做法都不一样。

二、三层结构：思考、行动、治理

这套方案把智能体拆成三个落点：思考、行动、治理，分别落在三块硬件上。

Rubin负责跑模型推理，智能体在这里"思考"；Vera CPU管执行框架和工具调用，智能体在这里"行动"。真正的关键是第三块——治理。BlueField-4 DPU上跑着一个叫NVIDIA Sentry的安全框架，专门负责看着智能体，而这块硬件，在智能体完全够不着的地方。

三、OpenShell怎么工作

OpenShell是这套架构的核心软件，开源，Apache 2.0 许可。它由四个组件组成：

Gateway（网关），控制平面，管理沙箱的生命周期和策略。

Supervisor（监督器），检查智能体的每一个出站请求是否符合策略，同时管控凭证访问，完全独立于沙箱运行。

Sandbox（沙箱），隔离智能体的工作负载，限制它能碰的文件系统和进程。

Policy Prover（策略证明器），做形式验证，检查一条策略的权限，是否还留在组织定义的上限之内。

四个组件，一个核心思路：把智能体的工作负载，当成"不可信"来处理。（treats agent workloads as untrusted）

需要什么权限，就给什么权限。给多少、给多久，由外面的策略说了算。官方技术文档里的原话是：OpenShell在智能体触及不到的地方，提供确定性的治理。

四、为什么要"够不着"

这里有个关键的设计取舍。

过去的Agent安全，大多是"应用层"的，在智能体自己运行的进程里加护栏，让它自己判断该不该做某件事。问题在于：护栏和智能体，住在同一个进程里。一旦智能体被提示注入攻击了、被恶意插件污染了、或者供应链出了问题，它自己的代码被改了，那么住在同一进程里的护栏，也可能一起被绕过。

一个常被拿来打比方的例子是早期互联网：病毒无处不在，直到浏览器对网页功能实施了严格限制——把网页能做的事限定在一个固定的框里，网页自己改不了这个框。OpenShell对智能体做的，是同一件事：执法发生在智能体之外，而不只是在模型内部。

五、最深的一层：把执法做进芯片

如果软件层的隔离还不够，还有一手：做到硬件里。

BlueField-4 DPU是一块独立的处理单元，位于智能体和它要访问的模型之间，上面跑着NVIDIA Sentry这个统一安全软件框架。Sentry干三件事：

• 持续监测智能体的行为（带外监测，不依赖智能体自己汇报）
• 检查身份和委托权限
• 分析主机内存，找出偏离授权行为的地方

一旦发现威胁或违规，策略就在芯片里执行，Sentry可以在毫秒级把智能体隔离掉——这就是所谓的"in-silicon enforcement"（芯片内执法）。

这一步重要的原因很朴素：芯片是智能体改不了的。软件可以被改、进程可以被注入，但芯片里烧死的策略，智能体碰不到。

六、跟微软那条路，正好互补

差不多同一时间，微软也发布了自家的Agent安全方案：Guardian Agents（守护智能体），思路是在软件层加一个"保安"，实时盯着智能体，高风险操作要人工审批。

两条路不冲突，反而互补：

• 微软管的是流程：什么操作需要人批准，什么行为该被拦
• 这套方案管的是底座：不管上层怎么变，硬件这一层的边界碰不破

一个在"管理"层面，一个在"物理"层面。合起来看，Agent安全的防线，正在从"软件一个点"扩展成"从应用到芯片的一整条纵深"。

七、真正值得看的，是几个落地案例

发布时宣布接入的厂商名单很长，从模型厂商到安全厂商到云厂商都有，具体清单在官方发布稿里。相比名单，几个落地案例更说明问题：

SAP，把OpenShell参考架构集成进了Joule Studio运行时，把"业务治理"和"安全的智能体执行"连了起来。

ServiceNow，宣布ServiceNow Arc正式可用（一个个人长时运行的AI智能体），动作由ServiceNow Super Intelligence Control Tower治理，由OpenShell执行。更关键的是它的AI Passport权威层：企业可以在几秒内，跨软件和硬件，撤销一个AI智能体的访问权限。几秒内跨软硬件撤销权限，这个能力以前不容易做到。

八、"智能体"重新被定义了一遍

同一场演讲里，还重新定义了一遍"什么是智能体"，说一个智能体由五个要素组成：

1. 语言模型，负责感知、推理、计划、决策
2. 外骨骼，智能体的"安全带"，协调记忆，激活工具
3. 沙箱，安全带运行在沙箱里，把智能体与系统其他部分隔离
4. 知识，访问企业数据，转化成知识基础
5. 工具，做实际工作

注意第三项——沙箱。在这套定义里，沙箱不是"安全加固"那种附加件，而是智能体五大组成要素之一。换句话说，没有沙箱，就不算一个完整的智能体。这个定义把安全从"可选项"抬成了"结构必需"。

结尾

回到开头那句话：把安全做到芯片这一层，好处是边界很难被碰。软件可以被改、进程可以被注入，但芯片里烧死的策略，智能体够不到。

它当然不解决所有问题——芯片能管住行为边界，管不住模型"想什么"。但至少，"边界"这件事，终于有了一个智能体自己改不动的地方。

参考来源：

36氪《黄仁勋GTC柏林2026完整演讲实录：AI不是软件，而是制造业》
NVIDIA Technical Blog《How NVIDIA OpenShell Reference Architecture Secures and Governs AI Agent Workloads at Scale》（官方技术文档，用于核对技术细节）

梅雅达编程笔记原创 · 首发 CSDN · 转载请注明出处