要点
- OpenShell 是开源运行时，含 Gateway、Supervisor、Sandbox 与 Policy Prover——权威留在智能体之外。
- CoreWeave 在 NVIDIA Vera 上的测量称：沙箱启动比领先 x86 快 3 倍以上，智能体循环任务快 1.8 倍，单机架可支撑逾 11,000 个并发环境。
- 可选的 BlueField-4 + NVIDIA Sentry 提供硬件隔离监控，并在软件边界失效时于毫秒级隔离。
NVIDIA 开发者博客借 GTC 季文章抛出安全团队嘀咕已久的论点：智能体无法自我治理。长程智能体会下载代码、派生工具、索要权限并在任务中途改写行为。追求目标既是产品，也是风险。被描述为开源运行时、并作为参考架构基础的 OpenShell，试图把安全与治理移进智能体无法改写的基础设施。
这比任何一个产品名都重要。若智能体被当成带软白名单的可信副驾驶，一次巧妙越狱就是基础设施事故；若被当成凭证受中介、文件系统受沙箱约束的不可信负载，失败就变成遏制事件。
[1][2]OpenShell 的四个部件单独看都常规，组合起来却有指向。Gateway 管理沙箱生命周期与策略；完全在沙箱外的 Supervisor 检查出站请求并中介凭证；Sandbox 隔离文件系统与进程；Policy Prover 形式化检查权限是否落在组织设定的天花板内。
配套的 Sentry 深文提出下一层主张：软件边界必要但不足。在 OpenShell 参考设计中，智能体跑在 NVIDIA Vera CPU 上，而 BlueField-4 DPU 位于节点通往模型的唯一路径。Sentry 的 DOCA Tower 终结并检查流量；DOCA Argus 从 DPU 侧做主机内存自省而无需主机 agent；Open Policy Agent 结合容器哈希、SBOM 认可进程等运行时上下文做授权。遏制可在硅级于毫秒内执行。
[1][2]厂商安全架构常在指标上发虚。这里 NVIDIA 倚重 CoreWeave：Vera 上沙箱启动比领先 x86 快 3 倍以上；单机架支撑逾 11,000 个并发智能体环境；在 Terminal Bench 类智能体循环任务上快 1.8 倍（20 个真实任务）。这些数字仍刊登在 NVIDIA 博客，应视为具名客户声明、有待 CoreWeave 自己撰文——但比纯形容词可核查。
架构上更有意思的证据是结构性的：BlueField 位于唯一模型路径；Supervisor 在沙箱外；智能体逃逸无法篡改的可证明遥测。对那些已在「热心」追目标时绕过应用层控制的智能体，这是连贯的威胁模型。
[1][2]尚未结算的是可移植性与成本。OpenShell 的软件故事原则上可走出去。硬件托底——Vera + BlueField-4 + Sentry（Sentry 更广泛可用性被描述为明年年初计划）——把治理性能绑上 NVIDIA 栈。标准化在其他 CPU/DPU 上的企业会问：「策略在智能体外」是否必须这套硅，还是只要运行时模式。
同样薄弱的是：针对 OpenShell+Sentry 的独立红队结果、TLS 终结与在线分类的时延税，以及 Policy Prover 如何扩到messy 的真实许可清单。形式化天花板，取决于组织有没有能力把它写清楚。
[1][2]对平台负责人，近期决策与其说是「买 Vera」，不如说是「别再让智能体兼任自己的合规官」。凭证中介、出站策略与沙箱应归平台所有——这与 OpenAI 故障转移笔记关于恢复上下文的教训同构。硬件隔离是沙箱出错时的升级路径。
若智能体工厂真需要单机架数万并发沙箱，CPU 架构会在叙事被 GPU 垄断多年后重新进入 AI 讨论。这或许既是 NVIDIA 的安全论点，也是其战略论点。
[1][2]未来半年的信号是：OpenShell 是否积累非 NVIDIA 的生产案例，以及 Sentry 早期部署是否公布隔离真阳性率，而不是只给架构图。智能体的基础设施治理是正确问题；尚开放的是解决方案必须有多少烙印硅。
[1][2]