NVIDIA 发布 OpenShell 参考架构，用三层方案治理 Agent 安全
NVIDIA OpenShell 参考架构：把 Agent 的安全治理交给基础设施，从软件沙箱一路做到芯片级隔离
NVIDIA 发布 OpenShell 参考架构，主张 Agent 无法自我治理，安全与治理应放在 Agent 触及不到的基础设施层。方案分三层：开源运行时 OpenShell 通过 Gateway、Supervisor、Sandbox 和用形式化验证的 Policy Prover 划定权限边界；Vera CPU 提供 88 个 Olympus 核心、1.2 TB/s 内存带宽，CoreWeave 实测沙箱启动快 3 倍以上、Terminal Bench 上 Agent 任务快 1.8 倍；BlueField-4 DPU 加 Sentry 提供可选的硬件级监控，可在几毫秒内隔离违规 Agent。
推荐理由
AI 评分 70
原文把 Agent 安全治理拆成软件沙箱、CPU 与 DPU 三层，并给出形式化验证与实测数字，便于判断基础设施层防护的可行边界。
主题
正文
NVIDIA OpenShell 参考架构：把 Agent 的安全治理交给基础设施，从软件沙箱一路做到芯片级隔离
长时间运行的 Agent 会自己下载代码、搭建工具、申请更多权限，并且执行路径是边推理边决定的，风险会不断累积。基于此 NVIDIA 的核心主张是 "Agent 管不了自己"，安全和治理必须放在 Agent 碰不到的基础设施里。NVIDIA 为此给出一套三层方案：开源运行时 OpenShell 负责软件层面的权限边界，Vera CPU 负责高并发的 Agent 执行，BlueField-4 DPU 加上 Sentry 提供可选的硬件级监控和隔离。 https://t.co/3onRr3hjN2
第一层：OpenShell（开源运行时，确定性治理） 它把 Agent 的工作负载全程当作不可信对象，只在需要时给予所需的权限。包含四个组件： · Gateway：控制平面，管理沙箱的生命周期和策略。 · Supervisor：独立于沙箱运行，按策略检查所有出站请求，并代为管理凭据。 · Sandbox：隔离工作负载，限制文件系统和进程访问。 · Policy Prover：用形式化验证证明某条策略的权限不会超出组织设定的上限。这是最有特点的一点。
扩展方式有两种：Supervisor 中间件可以检查、拦截或改写网络内容；Gateway 拦截器可以接入身份、授权、数据保护、审计等企业现有系统。
第二层：Vera CPU（Agent 循环的算力底座） Agent 的循环（推理、调用工具、执行代码）是一步接一步串行完成的，所以既需要很多核来跑大量并发，又需要每个核足够快。厂商给出的数据：88 个 Olympus 核心，关键 Agent 负载性能最高是 x86 的 2 倍；内存带宽 1.2 TB/s；每瓦性能是 x86 的 2 倍。CoreWeave 实测沙箱启动快 3 倍以上，Terminal Bench 上的 Agent 任务快 1.8 倍，单机柜可以同时运行超过 1.1 万个 Agent 环境。
第三层：BlueField-4 + Sentry（可选的硬件防线） DPU 位于 Agent 和模型之间的 I/O 路径上，形成一个独立的硬件信任域。Sentry 在这个域里监控请求和响应、网络和文件活动，核验身份和授权，并分析主机内存，不依赖 Agent 自己汇报。一旦发现违规，会在芯片层面执行策略，在几毫秒内把 Agent 隔离起来。