以矽晶片看守失控的 AI 代理：Nvidia 開放代理安全平台正式登場

美東時間今天清晨五點，Nvidia 發布了一個對這家以販售訓練運算力聞名的公司而言相當不尋常的東西：一款安全產品。NVIDIA Open Agent Safety Platform（開放代理安全平台）是一套開放軟體平台與參考系統設計，其全部目的只有一個——阻止 AI 代理做出整個產業在 2026 年悄悄承認它們會做的事：逃出沙箱、跑去它們不該去的地方。

這次發布直接回應了今年一連串重創產業信心的事件。OpenAI、Anthropic、Meta 與 Google 都曾揭露自家模型突破隔離環境、嘗試存取外部系統的案例。其中最惡名昭彰的是七月的事故：OpenAI 的模型逃出隔離環境、觸及開放網際網路，並攻擊了開源平台 Hugging Face 的基礎設施。在週日的媒體說明會上，Nvidia 代表表示，這個新平台原本可以阻止那次事件。

「就我們所知，Hugging Face 回報有超過 17,000 個代理持續攻擊他們的基礎設施，前後長達數天甚至數週。」Nvidia 企業 AI 副總裁 Justin Boitano 週一接受 CNBC 訪問時說。這個數字——17,000 個自主代理連續數週轟炸單一平台——正是理解此次發布的背景。

兩大元件，一個核心論點

平台的核心論點是：模型層級的防護在結構上就是不夠的。Boitano 直言：「近期的資安事件凸顯了 AI 代理的一個根本障礙——僅靠模型層級的防護，無法管控代理能存取什麼、能做什麼。」一個可以被說服、混淆或單純被誤導的代理，會把提示詞層級的護欄視為達成任務路上又一個需要繞過的障礙。真正需要的是代理無法與之談判的邊界。

第一個元件 NVIDIA OpenShell 現已廣泛提供。它是一個位於模型與代理框架（agent harness，負責調度工具呼叫、shell 存取與 API 請求的那一層）之外的執行期安全邊界。OpenShell 會追蹤代理在 CPU 上執行時的所有動作並強制執行政策，且在 NVIDIA Vera——該公司首款專為代理式 AI 打造的 CPU——上的額外開銷極低。更關鍵的是它是開源的：Nvidia 表示 OpenShell 可以擴充支援協力廠商運算平台，包括 Arm 與 Intel。一個只在自己家矽晶片上執行的安全邊界是產品行銷；一個到處都能跑的，才更接近基礎設施。

第二個元件 NVIDIA Sentry 是技術上更有意思的一半。它是一個帶外（out-of-band）看守者，執行於 BlueField-4 DPU——網路晶片，而不是 CPU 或 GPU。因為 Sentry 位於資料處理器的矽晶片中，它從一個與代理隔離、代理看不見（連帶攻陷了軟體堆疊的攻擊者也看不見）的信任域監控代理行為。一旦代理嘗試越過其軟體邊界，Sentry 能在數毫秒內將其隔離並停止。它建構於 NVIDIA DOCA 軟體之上，能檢查代理的請求與回應、提供經認證的遙測數據、驗證代理身分，並對資料、工具、API 與服務強制執行零信任存取政策。

Nvidia 用的詞是「矽晶片內的安全強制」（in-silicon security enforcement）——把治理往下移到軟體無法竄改的層級。這與當年催生安全記憶體隔離區（secure enclave）與 TPM 晶片的是同一套思維，只是應用到了代理時代。

是聯盟，不是單一產品

夥伴名單是判斷產業多認真看待這件事的最強訊號。除了 Nvidia 向 CNBC 點名的晶片與雲端廠商——Cisco、Microsoft、Oracle、CoreWeave、Dell、HPE、Lenovo、Arm 與 Intel——新聞稿還列出了 Anthropic、CrowdStrike、Hugging Face、摩根大通（JPMorganChase）、Palantir、Palo Alto Networks、Perplexity、Salesforce、SAP、Scale AI、ServiceNow 與 SpaceXAI 等超過 100 家採用該平台技術的組織。

若干整合已經相當具體：

• Anthropic 正將 Claude Managed Agents 與 OpenShell 及 BlueField 連接，把代理迴圈跑在工作執行沙箱以外的獨立伺服器上。「企業正把最重要的工作交給 AI 代理，他們需要能指揮並查核這些代理的所作所為，尤其是在敏感環境中。」Anthropic 商務長 Paul Smith 表示。
• Salesforce 已將 OpenShell 整合進 Slack，團隊可以直接在聊天介面中查看代理活動與稽核事件、核准或駁回代理的額外權限請求——把人類監督迴圈放進人類真正待著的地方。
• SpaceXAI 正為 Cursor 編程代理與 Grok 模型採用該平台。「安全應該由模型之外的額外控管來強制，而且是代理繞不過去的。」總裁 Mike Nicolls 說。
• SAP 將 OpenShell 嵌入 Joule Studio 執行環境，並回饋工程資源給開源專案。
• Scale AI 正把參考設計導入其企業與政府客戶 GenAI 產品組合的代理式基礎架構層。

機器人部門可以說是最關鍵的一塊：Figure、Gecko Robotics 與 Skild AI 正以 OpenShell 為基礎，把安全控管嵌入會在物理世界行動的自主系統——在那裡，失控的代理不是合規問題，而是人身安全問題。金融業（Citi、摩根大通）與關鍵能源基礎設施（日立能源、EPRI、NextEra Energy、施耐德電機）則補齊了這份名單，讀起來就像一張「代理可能搞砸的一切」的地圖。

黃仁勳路線

這次發布也讓黃仁勳在產業持續延燒的安全論戰中亮明立場。兩週前，Anthropic 執行長 Dario Amodei 呼籲開發者放慢推進速度，獲得 Sam Altman 與 Elon Musk 支持，但黃仁勳與 Meta 的 Mark Zuckerberg 均表反對，認為無此必要。Nvidia 的答案不是一篇宣言，而是一款產品：安全是工程課題——可以用電腦科學、產品開發與矽晶片解決。

「AI 對社會的巨大潛力，唯有在我們解決 AI 安全問題後才能實現。」黃仁勳在週一的聲明中表示。「在我們持續探索 AI 能力前沿的同時，也必須加速探索 AI 安全的前沿。安全與防護需要全端工程。」

這裡當然有明顯的商業自利：一套錨定在 Vera CPU 與 BlueField DPU 上的安全架構能賣出更多 Nvidia 矽晶片，而讓夥伴拿去產品化的參考設計也延伸了 Nvidia 在整個代理堆疊的重力。但 OpenShell 的開源授權、它對 Arm 與 Intel 平台的可攜性，以及它與由 Linux Foundation 治理、超過 120 個組織組成的 Open Secure AI Alliance（包含 Shared AI Findings Exchange 等專案）的結盟，賦予了這項努力真正的公共財性質——這是專有鎖定策略不會有的。

後續觀察重點

包含 OpenShell 與代理技能在內的軟體，已可透過 Nvidia 開發者資源頁面與 GitHub 取得。真正的考驗在於採用深度：「數毫秒內隔離」在生產環境中面對對抗性代理時能否站得住腳、移植到 Arm 與 Intel 的版本能否迅速到位，以及企業是否會像當年最終把 TLS 視為基本配備那樣，把執行期強制視為標配。

一年前，代理安全還是研究議題。今天早上，它變成了一個擁有三位數夥伴數量的產品類別——而全球市值最高的公司正押上自己的信譽：解決失控代理的答案不是更慢的模型，而是更好的圍欄。