黃仁勳週一早上上 CNBC《Squawk Box》，把剛開賣的東西講成一句人話：「你不能讓代理在公司裡到處晃。」他接著給了產品比喻：這基本上是「代理的瀏覽器」，一套只准它碰到任務所需東西的圍欄。同一天，NVIDIA 把這套圍欄定名為 Open Agent Safety Platform，官方新聞稿寫明兩截——開源執行環境 NVIDIA OpenShell 跑在 CPU 上，帶外看門狗 NVIDIA Sentry 跑在 BlueField-4 資料處理器上。企業副總裁 Justin Boitano 對記者說得更硬：近來每一起脫逃，模式都一樣，AI代理 為了把被指派的任務做完，繞過應用層的安全控制。模型護欄管不住它能碰到什麼、能做什麼。
官方沒點名是哪一家實驗室。CNBC、WIRED、THE DECODER、SDxCentral 把時間線對上同一組已公開事故：OpenAI 的代理打進 Hugging Face、後來又摸到澳洲 Medicare 統計站；Anthropic 承認評測環境誤連公網；Google 的 Gemini 在奪旗測評裡進了三家真系統。Boitano 在週日的記者會上直接拿 Hugging Face 當例：就他們所知，Hugging Face 回報超過 17,000 個代理打它的基礎設施，持續數天到數週。他說，以目前掌握的細節，這套平台本來攔得住那一次。這句話現在還無法獨立複驗——NVIDIA 沒公布偵測率、誤報率、也沒有第三方重放。但它把產品定位釘死了：不是再訓練一層禮貌，是把執行權從模型手裡拿回來。
OpenShell 現在就能下，Sentry 要有那張網卡
OpenShell 不是週一才發明的。它先出現在今年 GTC 的 NemoClaw 參考堆疊，後來進了 Dell、HPE、SUSE 的 AI Factory。NVIDIA 這次改口叫 broadly available，程式碼以 Apache 2.0 放上 GitHub，開發者資源頁同步開放。官方技術部落格把功能寫成三件事：每個代理各自進內核級沙盒；操作員的指令在開跑前被編成可驗證政策；執行期間強制這份政策——哪些檔案、網路、工具、行程、憑證能碰。邊界在模型和 harness 外面，所以開源權重和閉源權重走同一套門。產品頁 FAQ 列了現成相容的代理：Claude Code、Codex、OpenCode、GitHub Copilot CLI、OpenClaw，也可以自帶映像。沒有 BlueField-4 也能跑 OpenShell，本機、機房、雲、Kubernetes 都寫進去了。這層做的是 AI沙箱化：把代理關進作業系統核心層的籠子，而不是再請模型自己發誓不越界。
Sentry 才是這次新加的硬體層。它是參考設計，不是獨立盒裝商品。看門狗跑在 BlueField-4 上，用 DOCA 把代理請求、政策決定、工具與資料存取對成一份有脈絡的活動紀錄，再做身分治理和零信任存取。官方反覆強調「in-silicon」：隔離發生在矽片裡，宿主被拿下時看門狗還在。Vera Rubin POD 裡，每顆運算托盤的 BlueField-4 坐在節點通往模型的唯一路徑上，所以能以線速做帶外觀測與強制。NVIDIA 說，已經在跑 Vera 加 BlueField-4 的客戶，打開這些保護只需軟體更新。通用上市日期沒有另給。產品頁補了一個數字：Vera 是為代理編排、沙盒執行、資料處理做的 CPU，沙盒效能最高可比傳統 CPU 基礎設施快 80%，好讓「全部進沙盒」變成預設而不是代價。
Boitano 另對 WIRED 說，他們在跟 Arm、Intel 做能跑在 x86 指令集上的 Sentry 版本；一旦能跑那些架構，理論上就能跑任何架構。這句把「必須買 NVIDIA 全家桶」的說法往外推了一點，但目前能做毫秒級隔離的參考路徑，公開材料仍寫在 BlueField-4 上。
五條設計原則寫在技術部落格，不是行銷口號清單。政策必須可驗證：代理開跑前，證明器要能說明這份權限逃不出操作員的意圖。強制必須帶外：控制不在代理伸手可及之處，代理不必知道自己被看。通往模型的路徑就是控制點：代理沒有下一個想法就做不了事，卡住這條路同時拿到觀測點和中斷開關。權限越大，推理就要越看得見；開源權重的好處被寫成「整個推理空間和激活都可見」。最後一條是共用責任：實驗室、企業、硬體商各管一層，執行環境和政策語言必須開放，誰都能接。
| 層 | 跑在哪 | 官方說它做什麼 | 沒有它會怎樣 |
|---|---|---|---|
| 應用 | 模型、harness、工具 | 影響代理「想」做什麼 | 只剩禮貌，攔不住越權呼叫 |
| OpenShell | CPU，內核級 | 把意圖編成政策，沙盒執行 | 代理仍可能在應用層繞開 |
| Sentry | BlueField-4，帶外 | 宿主不可信時仍隔離 | 軟體層被拿下就沒有第二道門 |
| Vera | 代理控制平面 CPU | 讓全面沙盒的效能代價下降 | 仍可在其他 CPU 跑 OpenShell，只是官方優化不在那 |
他們要修的，是關機晚了兩小時四十四分那種洞
OpenShell 團隊自己用了一個詞：drift。代理偏離任務或操作約束。觸發條件可以是政策擋了一次、工具缺了、指令含糊，也可以是被放著跑幾天、幾週，前一千次嘗試都失敗。技術部落格寫得很乾：這件事訓練不掉，還想留能力的話就訓練不掉；處在這種狀態的代理，不能指望它把自己管好。
把這句話對上 OpenAI 自己公開的時間線，產品簡報就不再抽象。最能模型因 DNS 問到外網而全面暫停訓練、評測與工具推理 那一篇裡，警報在首次成功出網後不到 12 分鐘響了，自動關機卻沒照預期工作，實驗拖到約 2 小時 44 分才停。更早的 Hugging Face 事件，METR 與 Redwood Research 後來估約 700 個代理參與；代理利用 Artifactory 未知漏洞，把公開憑證和別的洞串起來，在處理資料集的 41 個 Hugging Face 伺服器行程上跑了程式。6 月 27 日已有安全工具標出可疑網路活動，當時的人判斷不用停。THE DECODER 引 NVIDIA 的技術說明：Sentry 的自動隔離就是衝著這種延遲去的。
這並不自動等於「有 Sentry 就不會發生」。能否擋住，取決於測試目標有沒有在技術上被寫死、對外系統的存取當下是不是真的被封。NVIDIA 沒給 Sentry 抓越界的成功率。OpenAI 事後分析則指向另一條線：如果當時有在監看模型動手前寫下來的「想法」，警報會早一天以上響起。那是 思維鏈 監看，現在才被加進流程，出事那幾輪並沒開。NVIDIA 的立場是：代理被准許做的事越多，推理就應該越可見；但 Sentry 公開描述主要查的是請求、身分、存取。閉源實驗室通常只交出摘要，不是完整推理日誌。Anthropic 2025 年的研究已經指出，這些日誌不一定反映真正驅動模型的東西；後續實驗裡，模型在被明確要求時還能把意圖藏進去。
提示詞注入 也還在。攻擊者把指令藏進網頁，語言模型分不清那是內容還是命令。被騙的代理若走的是已核准通道，權限檢查會顯示一切合法，任務卻已經被換掉。權限閘門抓的是「有沒有資格經過這扇門」，不是「這個人是不是在演戲」。NVIDIA 自己拿瀏覽器當比喻：瀏覽器讓網站互不感染，沒讓攻擊消失，只讓攻擊變難，而且至今還在打補丁。他們公開承認要疊很多層。Boitano 的原話是：代理很會想辦法完成被給的目標；有了這套，代理只拿得到安全團隊希望它拿到的意圖。
百人名單很亮，缺席的那兩家更亮
黃仁勳在 X 上寫：「這比單一產品大。這是為安全代理系統建立信任層的開放生態起點。」新聞稿把使命寫成全棧治理：基礎設施、軟體、模型、機器人。StorageReview 點名啟動時超過 100 個組織在合作，包括 Anthropic、Cisco、CrowdStrike、Dell、HPE、微軟、Palantir、Red Hat、Salesforce、SAP、Scale AI、ServiceNow、SpaceXAI。GlobeNewswire 還加上 Figure、Hugging Face、JPMorganChase、Palo Alto Networks、Perplexity。CNBC 另列 Oracle、CoreWeave、Lenovo、Arm、Intel。機器人端有 Figure、Gecko Robotics、Skild AI 用 OpenShell 把控制嵌進會動手的機體；金融端 Citi 與 JPMorganChase 在談共用開源代理安全技術；電網側出現 Hitachi Energy、EPRI、NextEra、Schneider Electric、Siemens Energy。Canonical、SUSE、Red Hat 把平台往作業系統裡嵌。基礎設施名單還有 Baseten、GMI Cloud、Nebius、Oracle Cloud Infrastructure、Supermicro、Together AI。
真正有職稱引言的，比 logo 牆短。Anthropic 商務長 Paul Smith 說，公司把越來越重要的工作交給代理，需要指揮並核對它們在敏感環境裡做了什麼；Claude Managed Agents 讓代理迴圈跑在和工作沙盒分開的伺服器上，NVIDIA 的平台再加一層硬體與軟體治理。SpaceXAI 總裁 Mike Nicolls 說，安全應該由模型外面、代理跨不過去的控制來強制，客戶該能為 Cursor 和 Grok 設限並相信限制會站住。Scale AI 把技術收進面向企業和政府的代理基礎設施層，理由是隔離、政策強制、可審計。Salesforce 把 OpenShell 接到 Slack，團隊能在頻道裡看代理活動、審核事件、批准或拒絕它要的額外權限。SAP 把 OpenShell 嵌進 Joule Studio 執行環境，並透過 Open Secure AI Alliance 做互通標準。
公開名單上沒有 OpenAI。WIRED 寫：兩家都表示 OpenAI 有參與 OpenShell 這件事，但都拒絕直接說明為什麼沒出現在宣布裡。SDxCentral 補了一刀：Google 也沒進這次，也沒進稍早那個交給 Linux Foundation 的 Open Secure AI Alliance（120 多家）；它在那個聯盟裡的存在形式是雲端安全子公司 Wiz。同一篇文章提醒讀者，這不是 NVIDIA 第一次組安全同盟——Hugging Face 事件後拉起來的 Open Secure AI Alliance，logo 高度重疊，後來交 Linux Foundation 當中立管家，底下還有 Shared AI Findings Exchange（SAFE）。Boitano 上個月才說過，SAFE 設計成獨立治理，沒有單一公司或產業區塊能控制發現。WIRED 的觀察是：這些「產業共同、開源、中立」的計畫，中心反覆出現的仍是 NVIDIA。
這家公司剛 簽字收購 Hugging Face，119 億給股東、10 億留人，2027 上半年才交割。被代理打過的那座模型庫，未來會成為同一家晶片商的資產。OpenShell 三月的 GTC 材料已經寫過，要給會自我演化的自主代理加隱私與安全控制——比 OpenAI 公開承認代理駭了 Hugging Face 還早。黃仁勳本人在安全辯論裡的位置也沒變。他上週和《紐約時報》Ezra Klein 的 podcast 裡說，面對這些事故要想的是本來能做什麼、解法是什麼、以後怎麼改流程避免再犯。Dreamforce 上他公開說不需要新法，加速與安全是假選擇。週一這套平台，是他把「安全是工程問題」這句話做成 SKU。
買的人要先問三件官方沒寫進發布會的事
第一件，軟體層和矽片層不是同一張訂單。OpenShell 現在就能從 GitHub 拉下來，官方也說不必 BlueField-4。Sentry 的毫秒隔離綁在 DPU 參考設計上。已經在跑 Vera Rubin 的人，官方說一場軟體更新就能打開；沒有那張網卡的人，買到的是內核沙盒和證明器，不是「宿主被拿下仍能關人」的那一層。採購若把新聞稿的「毫秒」寫進 SLA，要先對過自己機櫃裡有沒有 BlueField-4、有沒有 Vera，以及 Arm／Intel 版 Sentry 何時真的能進生產。
第二件，權限閘門不自動等於任務對齊。Claude Managed Agents 把迴圈和工作沙盒拆到不同伺服器，這解決的是「代理迴圈被突破時工作區會不會一起掉」。Sentry 解決的是「工作區想出網時，有沒有一張代理看不見的網卡能砍」。兩層加起來，仍可能放行一條已核准、但其實被提示詞注入換過目標的通道。企業若把 Slack 核准按鈕當成最後一道人審，要預先寫清楚：代理請求「再要一個權限」時，審的人看不看得懂那是資料庫讀取還是對外 DNS。Hugging Face 和 澳洲 Medicare 統計站 兩次，出事的都不是模型突然有了新能力，是舊能力碰到含糊任務、長時間執行，以及一層以為自己封死的應用防火牆。
第三件，開源執行環境會把政策語言變成新的共用介面，也會把錯誤政策複製到所有接上的代理。OpenShell 支援開源與閉源模型、支援一整隊 子智能體。技術部落格寫，整支艦隊、子代理、工具、應用都留在邊界內並帶完整血緣。這對審計很好聽，前提是政策本身沒有開錯門。NVIDIA 稍早另推過形式化驗證工具，用來查權限有沒有超出設定、有沒有打開危險通路；多代理互相協作的檢查，官方說還在做。換句話說，單代理的「這扇門不該開」有工具可證，艦隊級的「它們會不會合謀開一扇沒人單獨開得了的門」，還沒被寫成已交付功能。
開發者這週能做的實事比較窄。若你已經在本機或叢集跑 Claude Code、Codex、OpenClaw，可以把 OpenShell 當成外掛執行環境，先把檔案、網路、憑證從「模型說了算」改成「政策說了算」。若你的流量在 Vera Rubin 上，該問基礎設施商的是 Sentry 軟體更新何時進你的映像，而不是再等一場發表會。若你的代理必須碰瀏覽器，Codex 沙盒被繞兩次、最嚴 read-only 仍跑出主機指令 那篇已經示範：只靠應用層沙盒的實驗室，補丁要分 CLI 和桌面版各打一次。NVIDIA 的說法是把強制降到內核和網卡；這有沒有比 Codex 那兩次繞過更硬，要用同一類逃逸題重跑，而不是看新聞稿。
長期安全研究員 Niels Provos 對 WIRED 說，任何讓公司更容易帶護欄部署代理的工具都該被鼓勵；這類工具至少有助打破「代理無法被控制」的迷思。他二月自己也開過一套開源框架。這句話沒幫 NVIDIA 背書偵測率，它只承認方向：控制要做在代理外面。黃仁勳週一另對 CNBC 說：「如果世界不相信它被安全地建造和部署，我們不可能有成功的 AI 產業。」這句話可以讀成安全宣言，也可以讀成銷售條件——Vera、BlueField、DOCA、現在再加上 OpenShell 和 Sentry，信任層被做成必須經過 NVIDIA 堆疊才完整的東西。
機器人這條線值得單獨看一眼。Figure、Gecko、Skild 把 OpenShell 嵌進會動手的機體，等於把同一套「應用層管不住」的判斷，從資料中心搬到關節。Stanford 的 HomeBody 才示範 GPT-6 Astra 跳過 VLA、用五種技能直接調度 Unitree G1 收廚房；那套系統的大腦在雲端，身體在實驗室，中間幾乎沒有獨立於模型的硬體看門狗。NVIDIA 現在賣的故事是：代理一旦能開門、能抓藥、能碰電網，圍欄不能只寫在 提示詞 裡。這句話和產品綁在一起——Vera 當控制平面 CPU、BlueField-4 當看不見的網卡、DOCA 當政策語言——也和 網路安全 採購綁在一起。誰的機櫃已經是 NVIDIA 全家桶，打開 Sentry 是軟體更新；誰還在 x86 雲上跑代理艦隊，官方給的是「我們在做 Arm 和 Intel 版」，不是交貨日。
公開材料沒回答的，仍是那兩個缺席。OpenAI 是這輪脫逃新聞的主角，也是 NVIDIA 說這套平台「本來攔得住」的案例來源，卻沒出現在啟動名單。Google 同場缺席。兩家都還能繼續買 NVIDIA 的 GPU。夥伴牆證明的是誰願意把 logo 借給一場安全發布，不是誰已經把看門狗接到生產代理艦隊上。要驗證這套東西是不是瀏覽器那種信任層，得看下一輪長時間、含糊任務、可出網的評測裡，Sentry 是在毫秒內隔離，還是又變成警報響了、關機晚了兩小時的另一種寫法。