2026 年 9 月 21 日，Nvidia 安全研究员 Saša Zdjelar 发布了一篇把智能体安全框架化的长文，并同步放出名为 OpenShell 的开源安全运行时。它的出发点很朴素：与其反复争论智能体有多危险，不如把安全做成可强制、可验证、有归属的工程问题。OpenShell 的核心动作，是把智能体的执行关进一个沙箱，并让数据、网络与系统资源的访问策略在智能体推理回路之外生效——换句话说，即便模型被误导或自己判断失误，越权动作也会在边界处被拦下，而不是靠模型自觉收手。
把安全做成工程问题，而不是政策辩论
过去一年，行业里关于智能体风险的讨论大多停留在抽象层面：模型会不会越权、提示词注入会不会得手、长程任务会不会跑偏。这类讨论有意义，却很难直接落到部署上。Nvidia 这次给出的答案更偏工程：定义一个有边界的执行环境，把能碰什么写成策略，并在运行时强制。Zdjelar 提出的框架包含四个要素——明确的安全需求、可强制的控制、具名的责任人、以及证明防护有效的测试证据。这套思路把安全从说清楚风险推进到证明风险控制住了，对准备把智能体放进生产系统的团队，是更可操作的语言。
设计上最值得注意的一点是边界与推理的解耦。智能体在沙箱内部照常推理、调用工具、读写文件，但每一次文件访问、系统调用与网络连接都要经过策略检查；更关键的是，智能体本身看不到真实凭据，凭据只在请求发往已批准端点时才由运行时补上。这意味着即便一条被注入的指令要求把客户数据发往外部地址，网络策略也会在出口处切断连接，并把这次调用尝试与授权决策写进受保护的日志。边界是否成立，不再取决于模型是否表现良好，而取决于运行时是否拥有模型无法改写的约束。
联盟把安全栈拆成三层
与 OpenShell 配套的，是一个叫 Open Secure AI Alliance 的厂商联盟。Nvidia 之外，Cisco 的 DefenseClaw 在运行时之上叠加治理层，JFrog 负责扫描并校验智能体被允许调用的技能，CrowdStrike 的 SafeMind 对已部署智能体反复做攻击模拟，Palo Alto Networks 的 Prisma AIRS 做随模型与应用变化的持续红队，Capital One 与 ReversingLabs 则分别提供代码安全与包分析能力。把这套组合拆开看，大致是三层：运行时层负责隔离与强制，红队层负责持续攻防，代码分析层负责在技能入库前把恶意与脆弱成分挡在外面。
联盟式打法的用意，是把智能体安全从单点产品能力，变成可被不同厂商复用的契约。过去每家做智能体安全的公司都在自己的闭环里定义边界，彼此不互通；一旦把运行时、红队、代码分析拆成可替换的层，采用方就可以在不同环节替换供应商，而不必整套重写。这与容器生态的演进路径相似：先有标准格式，再有围绕标准的工具网络。对 Nvidia 这类既做芯片又做软件栈的厂商，推动安全成为底层契约，也契合其一贯的卖铲子定位。
需要看清的边界
客观地说，OpenShell 与联盟都还处于早期。其一，开源运行时的实际隔离强度，要看具体实现而非规范文本，不同厂商在系统调用、网络与文件系统边界上可能差异显著；其二，把安全做成联盟，意味着信任需要跨多家公司建立，标准治理与版本兼容会成为长期负担；其三，Zdjelar 强调的测试证据，目前更多是框架主张，离每个控制都有可重复的红队测试仍有距离。对准备采纳的团队，更务实的判断是先在小范围把智能体执行收进沙箱，用最小权限策略替代宽泛的服务账号凭据，再把红队测试纳入上线门禁。对国内云厂商与平台方，OpenShell 的出现也提示：智能体安全的竞争正在从模型能力上移到运行时与治理层，谁先把边界如何声明、如何验证定义清楚，谁就可能在下一阶段拿到话语权。目前官方及行业暂未披露更多细节，后续将持续跟进迭代动态。