NVIDIA Sentry 的增量主张：监控必须坐在主机信任域之外

智能体安全文章容易写成口号：沙箱、白名单、遥测。NVIDIA 这篇 Sentry 深文真正要卖的命题更窄、也更刺耳——宿主机上的监视器处在爆炸半径内。一旦智能体逃逸沙箱或主机软件被篡改，同机部署的「防护」就变成可被改写的日志与可被绕过的钩子。

配套的 OpenShell 参考架构已经把策略权威挪到智能体之外：Gateway、Supervisor、Sandbox、Policy Prover。那是基础设施沙箱的正论，值得认真对待。Sentry 接着问：当软件边界失效时，监控与执行还该不该待在主机信任域里？答案是不该——它必须坐在通往模型与外部世界的唯一路径上，且主机看不见、改不了。

在 OpenShell 参考设计里，智能体跑在 NVIDIA Vera CPU 上，BlueField-4 DPU 卡在节点通往模型的唯一路径。Sentry 是跑在这块 DPU 上的安全框架：DOCA Tower（基于 Envoy）做透明代理，用硅加速 TLS 终结与七层检查；DOCA Flow 提供每智能体的四层防火墙；Open Policy Agent 在本地内存评估 Rego 策略，通常亚毫秒级。

DOCA Argus 补上另一半画面：从 BlueField 侧对主机易失内存做实时自省，无需主机 agent。它映射容器、微 VM、进程哈希、加载库与资源关系，把「谁在发起这次网络请求」与「它的执行环境是否仍完整」绑在一起。策略因此可以要求：容器哈希在白名单、发起进程出现在 SBOM、命令行与执行路径合规——而不是只看目标 URL。

可核验的证据主要是结构性的，而不是第三方红队成绩单。文章强调：智能体网络流量经直连 I/O 进入 BlueField，绕过主机 OS/虚拟机管理器的包处理；Tower 与 Argus 的相关使授权带上运行时上下文；偏离行为（未批准工具、ptrace、异常出站、大规模删文件等）可触发毫秒级硅级隔离；遥测与策略判决留在 DPU 上，智能体改不了自己环境里的日志副本。

专门模型可对通信做线上或旁路分类，以捕捉行为漂移；SPIFFE/SPIRE 与伙伴身份体系把「谁」接到授权。这些都是连贯威胁模型下的机制声明——主机不可信时，监控必须出局。

钢化 OpenShell 一侧：软件 Supervisor、凭证中介与沙箱已经解决了「别让智能体兼任合规官」的大半日常问题。许多平台在通用 x86 上用 sidecar 与策略网关也能显著降险。Sentry 并不否定这一点；它声称的是失效模式——逃逸与主机妥协之后，同信任域的监视器不可靠。

薄弱处同样清楚。Sentry 更广泛可用性被描述为明年年初计划；独立对抗测试、TLS 终结与线上分类的时延税、以及策略在真实混乱许可清单上的可维护性，文中几乎没有可复核数字。把治理性能绑上 BlueField-4，也会逼问标准化在其他 DPU/网卡上的企业：信任域隔离是原则，还是必须这套硅。

对安全与平台负责人，近端决策不是「再买一篇智能体安全博客」，而是审计监视器的爆炸半径。若防护进程、日志管道与策略引擎都与负载同机同权，你得到的是可见性幻觉。把执行挪到唯一模型路径、且主机软件改不了的位置，才是 Sentry 相对 OpenShell 软件层的增量。

企业安全栈（XDR/SIEM）可消费其可证明遥测做关联与响应——前提是策略作者能把「意图」写成可执行的 Rego 与 SBOM 约束。形式化天花板再硬，也救不了写不清的组织。

未来半年的信号应是早期部署的隔离真阳性与误隔离代价，而不是更多架构图。OpenShell 回答「权威放在智能体外」；Sentry 回答「权威还要放在主机信任域外」。两层主张可以同时成立——也可以被独立证伪。