NVIDIA OpenShell 参考架构：把 Agent 的安全治理交给基础设施，从软件沙箱一路做到芯片级隔离

长时间运行的 Agent 会自己下载代码、搭建工具、申请更多权限，并且执行路径是边推理边决定的，风险会不断累积。基于此 NVIDIA 的核心主张是 "Agent 管不了自己"，安全和治理必须放在 Agent 碰不到的基础设施里。NVIDIA 为此给出一套三层方案：开源运行时 OpenShell 负责软件层面的权限边界，Vera CPU 负责高并发的 Agent 执行，BlueField-4 DPU 加上 Sentry 提供可选的硬件级监控和隔离。
https://developer.nvidia.com/blog/how-nvidia-openshell-reference-architecture-secures-and-governs-ai-agent-workloads-at-scale/

第一层：OpenShell（开源运行时，确定性治理）
它把 Agent 的工作负载全程当作不可信对象，只在需要时给予所需的权限。包含四个组件：
· Gateway：控制平面，管理沙箱的生命周期和策略。
· Supervisor：独立于沙箱运行，按策略检查所有出站请求，并代为管理凭据。
· Sandbox：隔离工作负载，限制文件系统和进程访问。
· Policy Prover：用形式化验证证明某条策略的权限不会超出组织设定的上限。这是最有特点的一点。

扩展方式有两种：Supervisor 中间件可以检查、拦截或改写网络内容；Gateway 拦截器可以接入身份、授权、数据保护、审计等企业现有系统。

第二层：Vera CPU（Agent 循环的算力底座）
Agent 的循环（推理、调用工具、执行代码）是一步接一步串行完成的，所以既需要很多核来跑大量并发，又需要每个核足够快。厂商给出的数据：88 个 Olympus 核心，关键 Agent 负载性能最高是 x86 的 2 倍；内存带宽 1.2 TB/s；每瓦性能是 x86 的 2 倍。CoreWeave 实测沙箱启动快 3 倍以上，Terminal Bench 上的 Agent 任务快 1.8 倍，单机柜可以同时运行超过 1.1 万个 Agent 环境。

第三层：BlueField-4 + Sentry（可选的硬件防线）
DPU 位于 Agent 和模型之间的 I/O 路径上，形成一个独立的硬件信任域。Sentry 在这个域里监控请求和响应、网络和文件活动，核验身份和授权，并分析主机内存，不依赖 Agent 自己汇报。一旦发现违规，会在芯片层面执行策略，在几毫秒内把 Agent 隔离起来。