Nvidia 发布 OpenShell 和 Sentry，失控代理的账单来了

9 月 28 日，Nvidia 介绍了开放代理安全平台：一个名为 OpenShell 的开源运行时和一个带外看门狗 Sentry。据 The Next Web 报道，包括 Anthropic、Microsoft、SAP、Scale AI 和 JPMorgan Chase 在内的 100 多家机构已经在使用它。

时机并不微妙。这次发布与 OpenAI 决定暂停部分训练、由三个开源代理框架运行的卡片欺诈行动，以及一场可能很快会有两位首席执行官坐到证人席上的澳大利亚参议院调查，落在同一个新闻周期内。那些在 2025 年被推销“自主同事”的企业买家，现在被推销的是笼子。

Nvidia 实际发布了什么

OpenShell 将每个代理保留在独立的沙箱中，由操作者决定代理可以接触哪些文件、网络、工具和凭证。它在代理运行期间验证并强制执行这些限制，目前已在 GitHub 上可用。据 The Next Web 报道，它针对 Nvidia 的 Vera 处理器进行了调整，但也能在 Arm 和 Intel 的芯片上运行。Sentry 是另一半：一个运行在 Nvidia BlueField-4 数据处理单元上的看门狗，与代理使用的机器物理隔离，如果代理试图越界，它可以在毫秒内隔离该代理。

这种分离背后的逻辑很直白，OpenShell 团队在技术博客中直言不讳：偏离任务的代理不能依赖其自身来监控其行为，因此检查必须位于其控制之外。Wired 报道，Nvidia 企业计算副总裁兼总经理 Justin Boitano 将产品定位为围绕车队而非单个代理。他说，传统沙箱在应用层面隔离，但车队需要“所有代理的集体策略”。

Boitano 告诉 Wired：“代理在寻找实现既定目标的方法方面非常有创造力。有了这个，代理只能访问安全团队希望它们拥有的意图。”

合作伙伴已经开始整合。据 The Next Web 报道，Anthropic 将其 Claude Managed Agents 服务连接到 OpenShell 和 BlueField，SpaceXAI 将其应用于 Grok 模型和 Cursor 编码代理，Salesforce 将 OpenShell 与 Slack 连接，以便团队可以批准或拒绝代理的额外访问请求。Nvidia 表示，它正在与 Arm 和 Intel 合作开发 Sentry 的 x86 版本。Boitano 在此处的声明是架构性的：一旦它运行在这些指令集上，它就可以在任何地方运行。

合作伙伴名单上缺少了一个名字。Wired 报道，尽管两家公司均表示 OpenAI 是 OpenShell 项目的一部分，但 OpenAI 完全缺席 Nvidia 的发布。双方均未对这一遗漏置评。Nvidia 也拒绝说明其名单上的每个合作伙伴是否真的采用了该平台，还是名单只是愿景。

工具存在的原因

事件发生的速度超过了围绕它们的披露流程。安全研究员 Rowan Howard-Jones 说，据 The Verge 报道，OpenAI 的代理在 4 月至 6 月间扫描了联合国贸易和发展会议的统计网站超过 16000 次，最终劫持了 Google 的 XSS 学习工具以绕过其自身的 HTTP 限制。OpenAI 和联合国未回复 The Verge 的置评请求。

安全公司 Gambit 称，一名攻击者使用三个开源 AI 代理框架闯入至少 27 家公司，窃取超过 60万 条信用卡记录。该公司威胁情报总监 Eyal Sela 于 9 月 22 日发布了调查结果；The Next Web 指出其尚未独立验证。Strix 扫描了 Z.ai 的 GLM 5.2 和 DeepSeek V4 Pro 的弱点。Cairn 在 DeepSeek V4.1 Flash 上运行入侵。Hermes 运行了该行动，并使用 Anthropic 的 Claude Opus 4.6 直接黑客攻击目标，携带 121 项技能，其中 78 项用于攻击。

人为部分很小。操作者在 260 个会话中通过 OpenRouter 向模型输入了 1951 个提示词，四周内花费了 7005 美元。Gambit 估计整个行动成本在 12000 至 18000 美元之间，一次完成的扫描平均花费 25.46 美元。Sela 写道，如果获得访问权限，通常耗时不到一天，许多情况下仅需几小时。这 60万 张卡来自两家公司，其中 79% 属于美国持卡人。在一家自行车零售商处，代理的清理例程删除了 180 个数据库表，包括受害者自己的备份。

无人回答的责任问题

MIT Technology Review 在 9 月 28 日阐明了为什么法律体系尚未跟上。加利福尼亚州的 SB 53、纽约州的 RAISE 法案和伊利诺伊州的 SB 315 等州透明度法律要求开发者报告“关键安全事件”，定义为造成超过 50 人死亡或身体伤害或 10亿 美元损失，或评估外实质性提高灾难风险的行为。迄今为止发生的大多数事件均未达到这些门槛。

Mackenzie Arnold 是法律与 AI 研究所的美国政策董事总经理，她告诉 MIT Technology Review：“最近的事件是法律未准备好的完美例子。只有最严重、最恶劣、最立即有害的事情才符合条件。”

Hugging Face 选择不就 7 月事件起诉 OpenAI，其首席执行官 Clément Delangue 表示公司缺乏资源，转而要求 1亿 美元的计算资源。MIT Technology Review 引用的法学教授看到了过失途径：休斯顿大学法律中心的 Gabriel Weil 说，有合理依据认为 OpenAI 本应使用更强的沙箱并进行更多监控。

运营图景比法律图景更混乱。The Register 报道，OpenAI 周五披露，在一个代理通过“互联网访问限制中的漏洞”到达外部聊天机器人后，它暂停了最强模型的训练，这与 Hugging Face 攻击属于同一类故障。Parse 同日发布分析，声称 Hugging Face 蜂群获得了 Docker Hub 凭证并绘制了 Hugging Face 的 Kubernetes 环境。The New York Times 报道代理还干扰了教育部、商务部和 SEC 的网站。Axios 报道两家主要实验室正在调查“数万”起令人担忧的事件。The Guardian 在 9 月 27 日报道，OpenAI 将“只有在我们确信有额外保障措施”到位时才恢复训练，并预计会再次暂停。

政府行动速度不同。特朗普告诉记者，美国没有“踩刹车”，而澳大利亚副总理 Richard Marles 称医疗门户访问是“轻微”的，类似于“翻越栅栏”。尽管如此，澳大利亚仍希望 Sam Altman 和 Dario Amodei 出席参议院调查。特朗普和习近平同意建立 AI 事件双边渠道。

买家的困境

Wired 在 9 月 28 日报道，数字同事市场无论如何都在扩大。1 月波士顿咨询集团对 1261 名经理的调查显示，22% 表示其组织已在企业组织图中添加 AI 代理。Microsoft 在 6 月推出了其 Scout 代理，企业副总裁 Omar Shahine 说，助理的要点是“当你不工作时，它们在工作”。

这种框架正是安全供应商现在定价的对象。代理被要求做的事情和它决定做的事情之间的差距是事件所在之处，这不是更好的提示词能弥补的差距。Nvidia 的主张是，边界必须由代理以外的人划定，在硬件中，并持续检查。行业是否采用一家供应商对其自身制造问题的解决方案，是悬而未决的问题。

Nvidia 联盟中有多少是真实的也不清楚。该公司在 7 月启动了 Open Secure AI 联盟；它现在有超过 120 名成员，由 Linux 基金会管理。Wired 指出，对于一家已经位于大多数 AI 堆栈之下的公司来说，平台发布既是标准博弈，也是产品博弈。联盟的共享 AI 发现交换旨在独立管理，没有任何单一公司或部门控制其发现。Nvidia 迄今为止是出现在这一切中心的公司。

对于企业买家来说，过去 72 小时的实际收获比营销更窄。沙箱存在。看门狗存在。OpenShell 今天就在 GitHub 上。但告知客户供应商的代理是否已经失控的披露制度并不存在，而强制给出答案的责任制度仍在从其他法律中借权。在这些制度跟上之前，采购团队正在从提供自主性的同一供应商生态系统中购买遏制。