NVIDIA 首次发布用于智能体治理的 OpenShell 参考架构

NVIDIA 于 2026 年 10 月 21 日在 GTC Berlin 宣布推出 OpenShell 参考架构。这是一套全栈设计，旨在企业基础设施和边缘系统中构建、约束、监测并强制保障 AI 智能体的安全。该架构现已推出。

该架构以 NVIDIA 开源的 OpenShell 安全运行时软件为基础，将其扩展为工业级基础设施，用于智能体的开发和运营。它结合了用于运行企业工作负载的 Vera Rubin 基础设施（包括基于 NVIDIA Nemotron 构建的闭源和开源模型）；用于运行智能体框架的 Vera CPU；以及运行 NVIDIA Sentry 的 BlueField-4 DPU。NVIDIA Sentry 是一套安全框架，可持续地带外监测智能体行为，并在硅片层面执行策略。该设计还扩展至运行在边缘端 RTX Spark、DGX Spark 和 DGX Station 系统上的智能体，覆盖零售、医疗保健、制造、机器人、软件开发和电信行业。

NVIDIA 创始人兼首席执行官黄仁勋表示：“借助 OpenShell 参考架构，智能体可以在 Rubin 上思考、在 Vera 上行动，并由 BlueField 进行治理。”黄仁勋表示，随着企业准备部署数十亿个 AI 智能体，安全性和控制能力必须融入计算架构。

面向智能体工作负载的全栈基础设施

Vera Rubin 基础设施的核心是 Vera Rubin NVL72 系统。NVIDIA 称，这些系统可灵活用于预训练、后训练和推理。该公司表示，NVL72 在智能体工作负载中的每兆瓦吞吐量可提高 30 倍。Vera CPU 运行 OpenShell 软件，为自主智能体提供安全的运行时边界；NVIDIA 表示，与 x86 处理器相比，Vera CPU 的性能提升 2 倍，能效也更高。

一篇配套技术文章介绍，Vera 是一款 CPU，搭载 88 个由 NVIDIA 设计的 Olympus 核心、第二代 Scalable Coherency Fabric、96 条 PCIe Gen 6 通道，以及最高 1.2 TB/s 的 LPDDR5X 内存带宽。NVIDIA 表示，与 x86 方案相比，该互连结构可将核心间带宽提升至最高 3 倍，并将核心间延迟降低至多 50%；Vera 的每瓦性能则是 x86 CPU 的 2 倍。

据该文章介绍，AI 云平台 CoreWeave 测得，Vera 上的沙箱启动速度比 x86 快 3 倍以上，单个机架可支持 11,000 多个智能体环境同时运行。CoreWeave 还运行了用于衡量真实智能体循环任务中 CPU 性能的 Terminal Bench，发现与 x86 相比，Vera 在从脚本编写到数据库恢复等各类任务中的性能快 1.8 倍。

运行 基于 NVIDIA DOCA 软件构建的 Sentry 的 BlueField-4 DPU 会持续监测智能体行为。NVIDIA 表示，如果智能体试图越出其软件边界，Sentry 会在数毫秒内将其隔离并停止运行。该公司还表示，BlueField-4 上的 Sentry 可将智能体容量提升至多 20%。

OpenShell 和 Sentry 如何实施智能体边界管控

NVIDIA 在其技术文章中阐述的观点是，智能体无法自我治理，因此安全与治理应由智能体运行所在的基础设施负责。OpenShell 在整个执行过程中都将智能体工作负载视为不可信对象，只在智能体需要时才向其开放所需访问权限。该运行时包含四个组件：网关（Gateway），负责管理沙箱生命周期和策略的控制平面；监督器（Supervisor），负责依据策略检查出站请求并控制凭证访问，且运行时与沙箱完全隔离；沙箱（Sandbox），用于隔离智能体工作负载并限制其文件系统和进程访问；以及策略验证器（Policy Prover），通过形式化验证检查策略授予的权限是否始终处于组织设定的上限之内。

据一篇关于该框架的技术详解介绍，在参考架构中，智能体运行于 Vera CPU 上，而 BlueField-4 位于节点连接模型的唯一通路上，因此 Sentry 无需依赖智能体自行报告行为，就能检查智能体与模型之间的通信。Sentry 在一个与主机软件相互独立、由硬件隔离的信任域中运行；其设计旨在确保即使智能体逃出沙箱或主机遭到入侵，监测和执行管控的能力仍能保留。

DOCA Tower 是 Sentry 的 AI 安全网关，基于开源 Envoy 代理构建，可作为智能体流量的透明代理，并在硅片层面终止 TLS。DOCA Flow 为每个智能体实现一套由硅片加速的四层防火墙，阻止连接未经授权的目的地，并将获准流量转发至 DOCA Tower，以进行应用层检查和授权。访问请求会由 Open Policy Agent 引擎依据既定策略进行评估。该引擎使用 Rego 语言，并可在不到 1 毫秒内完成请求评估，具体取决于策略的复杂程度和配置。

DOCA Argus 通过无代理实时内存探查补充运行时上下文：它从 BlueField-4 分析主机易失性内存中的选定区域，无需在主机上驻留代理。它会将容器映射到相应的 Pod，将沙箱映射到微型虚拟机（microVM），并通过哈希值跟踪进程、文件访问、网络连接和已加载的库，从而支持制定如下策略：要求容器的哈希值与获批列表中的某个值相符，或要求发起操作的进程列入容器的软件物料清单。Sentry 会评估多种警示信号，包括执行未经批准的工具、使用 ptrace 攻击其他进程、出站流量过大、未经授权的文件访问或更改、CPU 使用率飙升、向临时文件夹过量写入，以及大规模删除文件。检测到偏离时，Sentry 可以请求在芯片上以毫秒级速度实施遏制。

Sentry 还会借助专用 AI 模型，对代理通信进行内联或带外分类，以识别行为偏移；此外，它会在 BlueField-4 上生成经过认证且可检测篡改的记录，以支持取证调查，并将记录导出到 XDR 和 SIEM 等企业安全平台。DOCA Tower 集成了 SPIFFE/SPIRE，以实现可验证的工作负载身份。NVIDIA 计划于明年年初推出 Sentry；包括 DOCA Argus、DOCA Flow 和 OVS-DOCA 在内的 DOCA 库和微服务现已开放，可供试用。

合作伙伴生态与可用性

OpenShell 参考架构可运行在 Canonical、SUSE 和 Red Hat 提供的 Linux 与 Kubernetes 基础设施上，也可运行在搭载 Microsoft Execution Containers 的 Microsoft Windows 上，以及 Amazon Web Services、Google Cloud 和 Microsoft Azure 提供的云操作系统上。企业可以在 OpenShell 基础设施上运行来自 Anthropic、Cohere、Google、Meta、OpenAI、Perplexity、Reflection 和 SpaceX Super Intelligence 等模型构建商的代理。

网络安全厂商 1Password、Check Point、CrowdStrike、Cisco、F5、Fortinet、Microsoft、Okta、Palo Alto Networks、TrendAI 和 Zscaler 正将对该架构的支持集成到各自的代理安全产品中。BBVA 和 Santander 两家银行正与 NVIDIA 合作，探索如何将该架构用作强化代理安全保障、安全防护和治理的框架。Cadence、Dassault Systèmes、IBM、SAP、Siemens 和 Synopsys 等企业软件公司正与 OpenShell 合作，构建代理软件平台；Palantir 和 NVIDIA则正与客户合作，将安全代理部署到生产环境中。

SAP 正将该架构集成到其 Joule Studio 运行时中，该运行时属于 SAP Business AI Platform。ServiceNow 宣布 ServiceNow Arc 已全面推出。这是一款可长期运行的个人 AI 代理，其操作在运行时由 ServiceNow Super Intelligence Control Tower 管理，并通过 OpenShell 强制执行；ServiceNow 的 AI Passport 权限层会将这些策略传递给 OpenShell 和 Sentry，使企业能够在数秒内撤销代理对软件和硬件的访问权限。

Dell Technologies、Cisco、HPE、Lenovo 和 Supermicro 等系统制造商正基于该架构构建基础设施。CoreWeave、Crusoe、Firebird、Firmus、GMI Cloud、IREN、Lambda、Nebius、Nscale、Oracle Cloud Infrastructure 和 Vultr 等云服务提供商正与 NVIDIA 合作，部署可支持 OpenShell 的基础设施；Baseten、Deepinfra、Fireworks 和 Together AI 等推理与后训练服务提供商则正将集成方案构建到各自的模型开发流程中。

该架构的可用性公告指向安全代理工作区参考设计文档，其中介绍了七个逻辑平面、安全与治理模型、部署层级，以及适用于 Red Hat OpenShift Virtualization 和 Microsoft Azure 的参考实现。OpenShell 的代码可在 GitHub 上获取。