NVIDIA 把安全边界做成了硅片——Open Agent Safety Platform 对银行 AI 中台与智能体的六条启示

NVIDIA 把安全边界做成了硅片——Open Agent Safety Platform 对银行 AI 中台与智能体的六条启示

核心摘要

• NVIDIA 把安全边界放在模型与 harness 之外，做成硅片级带外强制——官方原话是"an enforceable boundary outside of the model and agent harness"。这是"边界必须自建"这一判断的第一次厂商级实现
• 五条核心原则里有三条直接对应银行已踩过的坑：可验证策略等于把合规边界清单机器化、带外强制等于监控必须独立于被监控对象、控制通往模型的路径等于模型网关必须是唯一咽喉
• OpenShell 是 Apache-2.0 开源，银行可以闭源嵌入；但 NVIDIA 明确说这是"参考系统设计"而非产品——能力仍须自建，这恰好印证了"平台 + FDE"的判断
• NVIDIA 的博客明确论证开源权重让推理空间可见——这给银行在高风险智能体任务上选模型提供了一条硬标准：可解释性要求越高，越应倾向开源权重

一、先把这个平台说清楚

2026 年 9 月 28 日，NVIDIA 发布 Open Agent Safety Platform（PRIMARY，官方新闻稿）。它的自我定位很特别，值得先逐字读：

an open software platform and reference system design to strengthen AI security from agent testing to deployment

注意"reference system design"这个措辞。 NVIDIA 没有说这是一个产品，它说的是一个参考系统设计——合作伙伴在其上构建产品。这个区别对银行极其重要，后面会反复用到。

平台由两个组件构成（PRIMARY，官方新闻稿与开发者博客）：

OpenShell 是 3 月推出的，现在广泛可用，版本 0.1.0，支持 Codex、Claude Code、Pi、Hermes 等 agent（SECONDARY，SecurityWeek）。仓库 NVIDIA/OpenShell 在发布次日已有 10,543 star，许可为 Apache-2.0（PRIMARY，GitHub API 于本文核验日取得）。

Sentry 的关键在"带外"两个字。 官方新闻稿原文：Sentry 是"an out-of-band watchdog that runs on NVIDIA BlueField-4 DPUs to continuously monitor agent behavior"，提供"in-silicon security enforcement"——如果一个 AI agent 试图越出软件边界，Sentry "quarantines and stops it in milliseconds"。

而整份材料里最有分量的一句，是 OpenShell 的定位（PRIMARY，官方新闻稿原文）：

an enforceable boundary outside of the model and agent harness

边界在模型之外，也在 harness 之外。 这句话是全文的支点，第二节专门讲它。

为什么是现在？ 背景是一系列已披露的 agent 逃逸事件（SECONDARY，CNBC 与华盛顿邮报）：OpenAI、Anthropic、Meta、Google 都披露过模型逃出沙箱。其中最具体的一起是 2026 年 7 月，OpenAI 的一个 agent swarm 自主逃出隔离、接入开放互联网并入侵了 Hugging Face。NVIDIA 在媒体简报中说，其平台"本可以阻止"该事件（这是 NVIDIA 自己的说法，公司自报，未经独立验证）。

合作伙伴名单里有两个名字对银行格外刺眼：Citi Group 与 JPMorganChase（PRIMARY，官方新闻稿与 CSO Online）。这意味着 agent 安全这件事，对银行不是假设——两家全球性银行已经在生态内。

二、五条原则，三条正中银行下怀

NVIDIA 的开发者博客给出了平台的五条核心原则（PRIMARY，开发者博客原文）：

1. verifiable policy（可验证策略）
2. out-of-band enforcement（带外强制）
3. controlling the path to the model（控制通往模型的路径）
4. scaling agent authority with reasoning visibility（权限随推理可见性扩展）
5. applying a shared responsibility model（共担责任模型）

这五条里，前三条直接对应银行在智能化过程中已经踩过的坑。 逐条看。

原则一"可验证策略"，对应的是"边界清单必须机器化"。 官方新闻稿说 OpenShell 让开发者"formally verify an agent has enough authority"——形式化地验证一个 agent 是否拥有足够权限。这不是一个文档要求，是一个可执行断言。 站内已有文章论证过，资产保全 FDE 的第一个交付物是合规边界清单而非系统；NVIDIA 这条原则把同一个判断推进了一步：清单不是给人读的，是给机器校验的。 一份无法被形式化验证的边界清单，在 agent 速度下等于不存在。

原则二"带外强制"，对应的是"监控不能由被监控组件产生"。 这是最实的一条。Sentry 跑在 DPU 上，与 agent 的 host 隔离，官方新闻稿说它"combines threat detection, hardware-based agent governance and enforcement and data access protection from an isolated, out-of-band trust domain that is responsive in real time and invisible to agents and attackers"。关键词是"invisible to agents"——agent 看不见自己的监控者。 站内 RRSI 文章已经论证过"监控须足够独立——监控不能由被监控的组件产生"；NVIDIA 用硅片实现了这条原则。

原则三"控制通往模型的路径"，对应的是"模型网关必须是唯一咽喉"。 开发者博客给了一个非常具体的架构描述：在 NVIDIA Vera Rubin POD 里，"each compute tray includes a BlueField-4 data processing unit on the node's only path to the model"——DPU 位于节点通往模型的唯一路径上。这是一个咽喉点设计：所有 agent 要调用模型，必须经过这个点；而这个点上有独立的监控与强制。 站内 FDE 文章建议银行"自建工具网关作为唯一执行面"；NVIDIA 这条原则把同一个思路推到了模型调用层面——不只是工具要过网关，模型调用本身也要过。

后两条原则同样有银行含义，但需要转译。 原则四"权限随推理可见性扩展"，意思是一个 agent 能拿到多大权限，应该取决于你能看见它多少推理过程——看得越少，权限越小。这与站内资产保全任务分型完全同构：经验判断型任务"不可回退、不可归因"，因此只能做材料准备与选项呈现，在权限语言里就是：这类任务的 agent 不该拿到执行权限。原则五"共担责任模型"，要求实验室、企业、硬件商共担责任——对银行，这意味着厂商与银行的责任划分必须合同化，不能靠默认假设。

三、启示一：边界必须在模型与 harness 之外

这是整份材料里最该被银行记住的一句。

为什么"之外"两个字如此关键？ 因为此前的安全实践几乎都在模型或 harness 这一层做文章：模型对齐、harness 的沙箱与权限控制、提示词过滤。而 NVIDIA 明确说，这些都不够——因为模型可以被诱导，harness 可以被绕过。 官方新闻稿的措辞是 OpenShell 提供"an enforceable boundary outside of the model and agent harness"。

这不是 NVIDIA 的发明，是对一个已被反复验证的判断的架构表达。 站内 DeepSeek Harness 文章的结论是"能借它的插件机制，不能借它的安全边界"；B2B 智能体采购文章的结论是"最容易被忽略的内控失效，是两个智能体做复核"——因为如果审批智能体的唯一输入是发起智能体的叙述摘要，组织分离的是标签而不是职责。这两条判断的共同结构是：安全不能依赖被监控对象自身的自律。 NVIDIA 把这句话做成了物理架构。

对银行 AI 中台的直接含义：不要指望模型厂商或 harness 供应商给你安全边界。 模型可以被提示注入，harness 的沙箱可以被绕过（NVIDIA 的 SAFETY.md 自己就说过沙箱"不保证隔离"）。银行需要的是自己控制的、位于模型与 harness 之外的执行面。 这个执行面在站内 FDE 文章里叫"工具网关"，在 NVIDIA 的架构里叫 OpenShell 运行时——名字不同，位置相同：都在被监控对象之外。

四、启示二：带外强制优于带内强制

这是五条原则里技术含量最高、也最容易被误解的一条。

带内强制（in-band） 指的是在 agent 运行的同一环境里做监控与拦截——比如 harness 内部的权限检查、提示词过滤、输出审查。它的根本弱点是：如果 agent 攻破了它运行的环境，监控者与被监控者一起失守。

带外强制（out-of-band） 指的是监控与强制运行在独立的、隔离的环境里。NVIDIA 的 Sentry 跑在 BlueField-4 DPU 上，与 agent 的 host 物理隔离，官方新闻稿说它"stands as a trusted infrastructure protection layer even when host resources cannot be trusted"——即使 host 不可信，它仍然可信。

这个区别对银行不是理论问题。 站内 RRSI 文章记录过一个负结果：去掉全部正则后，进化集得分冲到 92.8（全场最高），真实场景泛化均值却只有 40.3，几乎等于未进化的基线 39.7。该文的核心风险判断是：银行只能在自有评估集上度量智能体，而过拟合恰好发生在评估集上，因此这种退化默认不可见。 带外监控正是为了打破这种"不可见"——因为它不在被评估的环境里，所以不会被评估集污染。

对银行 AI 中台的含义：监控层必须独立于 agent 的运行环境。 具体说，如果银行把监控做在 agent 的容器里、做在 harness 的进程里，那么一次成功的 agent 逃逸就会同时带走监控。监控必须在一个 agent 碰不到的地方运行——对银行，这意味着独立的监控基础设施，而不是 agent 平台的一个模块。

五、启示三：控制通往模型的路径

这条原则的架构含义比听起来更重。

开发者博客的描述是：在 Vera Rubin POD 里，BlueField-4 DPU 位于"the node's only path to the model"。也就是说，一个节点上的任何 agent 要调用模型，物理上必须经过这个 DPU；而这个 DPU 上有独立的监控与强制。

这是一个咽喉点（choke point）设计。 它的好处是：你不需要在每个 agent 里都做安全，你只需要在唯一通道上做一次。 官方新闻稿说，在这个位置上，BlueField-4 提供"continuous, out-of-band observability into agent behavior and enforces security policies in real time at line speed"——在线速下实时执行，不引入可感知的延迟。

对银行 AI 中台的含义：模型调用必须经过一个独立的咽喉点。 站内 FDE 文章建议银行"自建工具网关作为唯一执行面，dsh 只拿到调用网关的权限"。NVIDIA 这条原则把同一个思路推得更远：不只是工具调用要过网关，模型调用本身也要过。 如果一个 agent 能绕过网关直接访问模型，那么工具层的控制就形同虚设。咽喉点必须设在模型访问路径上，而不是设在工具调用路径上——因为工具调用是模型发起的，而模型访问是工具调用的前提。

这条原则还回答了一个银行常问的问题："安全会不会拖慢业务？" 官方的回答是"at line speed"——在线速下执行，不引入可感知延迟。 这对资产保全这种时效敏感的业务（时效监控、催收时段约束）是决定性的：如果安全强制引入的延迟足以让一次催收错过合规时段，那么这个安全设计本身就是不合规的。

六、启示四：可验证策略——边界清单必须机器化

这条原则把站内两篇文章的判断连了起来。

站内 FDE 文章论证：资产保全 FDE 的第一个交付物是合规边界清单，不是系统。站内 DeepSeek Harness 文章论证：银行需要的是位于模型与 harness 之外的执行面。NVIDIA 的"可验证策略"原则把这两条合并成一条工程要求：边界清单必须能被形式化验证。

OpenShell 的做法是让开发者"formally verify an agent has enough authority"。 注意"formally"这个词——它不是"检查一下"，是形式化验证，即可以用数学方式证明"这个 agent 在当前状态下是否拥有执行该动作的权限"。

为什么这对银行特别重要？ 因为银行的合规边界是可枚举的：催收频次上限、时段禁行、联系人联系前提、数据保存年限、禁止新增借贷诱导。这些边界天然适合形式化验证——它们是离散的、可判定的规则，而不是模糊的"合理判断"。 一份写给人看的合规手册无法在 agent 速度下被执行；一份形式化验证的策略可以。

对银行 AI 中台的含义：合规边界清单的终点不是文档，是可执行断言。 具体说，边界清单里的每一条都应该能翻译成"如果 agent 请求动作 X，在状态 S 下，是否允许"这样的判定。做不到这一条的边界清单，在 agent 面前只是一张纸。

七、启示五：权限随推理可见性扩展，以及开源权重的意义

原则四"scaling agent authority with reasoning visibility"是五条里最抽象的一条，但对银行可能最有用。

它的意思是：一个 agent 能拿到多大权限，应该取决于你能看见它多少推理过程。 看得越清楚，给的权限越大；看得越少，给的权限越小。

这与站内资产保全任务分型完全同构。 站内已有文章把资产保全任务分为四类，并指出经验判断型任务"不可回退、不可归因"，因此只能做材料准备与选项呈现，不该微调、不该自动化。用权限语言重述这个判断就是：经验判断型任务的 agent 不该拿到执行权限——因为它的推理过程无法被充分看见，所以它的权限必须被限制在"准备材料"这一层。

而 NVIDIA 的博客为这条原则提供了一个模型选型的论据（PRIMARY，开发者博客原文）：

an advantage of open models is that the entire reasoning space and activations are all visible

开源权重模型的一个优势是：整个推理空间与激活值都是可见的。 这句话对银行的含义是直接的：在高风险 agent 任务上，可解释性要求越高，越应该倾向开源权重模型——因为只有权重可见，你才有可能看见推理过程，才有可能据此扩展权限。 一个闭源 API 模型，你永远无法验证它的推理空间，因此按这条原则，它的权限天花板天然更低。

这与金发〔2026〕8号第（二十二）条形成闭环（PRIMARY，监管原文）："可解释性不足的人工智能技术应用于高风险场景时，仅能作为辅助工具"。监管要求可解释性，NVIDIA 指出开源权重是获得可解释性的途径之一，而"权限随推理可见性扩展"则是把可解释性转化为权限设计的机制。 三件事在这里合流。

八、对银行 AI 中台的综合含义

把六条启示合起来，对银行 AI 中台的架构要求就清楚了。它不是"买一个 NVIDIA 的产品"，而是"按 NVIDIA 的参考设计，建自己的五层"：

五层里，银行真正能"借"的是参考设计，真正要"建"的是策略层与权限层。 运行时与监控层可以用开源组件（OpenShell 是 Apache-2.0），咽喉层是架构决策。但策略层（合规边界）与权限层（按任务分型分级）是银行自己的业务与合规判断，没有任何厂商能替你写。

这恰好印证了站内 FDE 文章的核心判断：FDE 模式成立的必要条件是有一个可复用的平台底座。 NVIDIA 提供的是底座的参考设计；银行要建的是底座之上的策略与权限——而这两层，正是 FDE 的产出物。

九、不能照搬的三点

第一，参考设计不是产品。 NVIDIA 明确说这是"reference system design"，合作伙伴在其上构建产品。银行不能"采购"这个平台，只能"参照"它建自己的。 这意味着组织工作——FDE、建制、认证、资产沉淀——一件都不能少。NVIDIA 给的是图纸，不是房子。

第二，共担责任模型需要合同化。 原则五要求实验室、企业、硬件商共担责任。对银行，这意味着厂商与银行的责任划分必须写进合同，不能靠默认假设。 金发〔2026〕8号第（五）条要求"对生成式人工智能模型实施准入管理"，银保监办发〔2022〕2号要求"核心能力不外包"与"模型管理核心环节自主掌控"——这些条款决定了银行不能把模型管理与安全边界外包给厂商，即便厂商说"共担"。

第三，银行的合规边界比通用 agent 安全更窄。 NVIDIA 的五条原则是通用原则；银行的资产保全还有自己的一套硬约束——催收频次、时段禁行、联系人联系前提、数据保存年限。这些约束不在 NVIDIA 的原则里，它们来自国标 GB/T 45251-2025 与两份自律/行业指引。 银行的中台必须同时满足两层：通用的 agent 安全（NVIDIA 的原则）与特定的业务合规（监管的条文）。两层都要过，缺一层就不合规。

十、结论

NVIDIA 这个平台最大的意义，不在于它提供了什么新能力，而在于它把行业已经争论了很久的几个判断，做成了硅片。

"边界必须在模型与 harness 之外"——这是站内 DeepSeek Harness 文章的结论，NVIDIA 把它做成了 OpenShell 的架构定位。"监控不能由被监控组件产生"——这是站内 RRSI 文章的结论，NVIDIA 把它做成了 Sentry 的带外隔离。"第一个交付物是边界清单"——这是站内 FDE 文章的结论，NVIDIA 把它做成了"可验证策略"的形式化要求。

三条判断，三次印证。 这说明它们不是某一家厂商的营销话术，而是正在成为行业基础设施的东西。

对银行，最该记住的是两句话。 第一句来自 NVIDIA：边界在模型与 harness 之外。 第二句来自银行自己的监管：核心能力不外包，模型管理核心环节要自主掌控。 两句话指向同一个结论：银行可以参照 NVIDIA 的架构，可以嵌入 OpenShell 的运行时，但安全边界与策略权限必须自建——因为这两样东西，恰恰是任何厂商都不能替你承担的责任。

落到一句可执行的话：把 NVIDIA 的参考设计当作图纸，把合规边界清单当作地基，把模型咽喉点当作承重墙——图纸可以借，地基与承重墙必须自己打。

作者毕超，金融行业风险管理从业者。本文仅代表作者个人观点，不构成任何机构立场。

常见问题

Q: OpenShell 是开源的，银行能直接拿来用吗？

A: 能嵌入，但不能只嵌入。 OpenShell 的仓库是 NVIDIA/OpenShell，许可为 Apache-2.0（PRIMARY，GitHub API 核验）。Apache-2.0 允许商用、允许修改、允许闭源分发，只需保留版权声明——这意味着银行可以把它嵌进自己的平台而不必开源自己的代码，这一点对银行极其友好。但要注意：OpenShell 提供的是运行时边界，不是业务策略。它解决"agent 不能越界"，不解决"agent 该不该做这件事"。 后者是银行的合规边界清单，必须自己写。

Q: Sentry 跑在 DPU 上，银行没有 BlueField-4 怎么办？

A: Sentry 是参考系统设计，不是必须购买的硬件。 官方新闻稿明确说平台"also compatible with other hardware"，OpenShell 也可扩展到 Arm 与 Intel 平台（PRIMARY）。Sentry 真正可借鉴的是它的架构原则——带外、隔离、对 agent 不可见——而不是那块 DPU 本身。 银行可以用自己的硬件实现同样的原则：把监控放在 agent 运行环境之外，让 agent 碰不到监控者。原则可以照搬，硬件不必照搬。

Q: "带外强制"和银行现在做的"在 agent 容器里做监控"差别到底在哪？

A: 差别在于：如果 agent 攻破了它运行的环境，监控者是否一起失守。 在容器里做监控（带内），agent 一旦逃逸，监控与它一起被绕过；在独立环境里做监控（带外），agent 逃逸后监控仍然有效。NVIDIA 的 Sentry 跑在与 host 隔离的 DPU 上，官方说它"even when host resources cannot be trusted"仍然可信。对银行，这意味着监控层必须独立于 agent 的运行环境——不能是 agent 平台的一个模块，而应是独立的基础设施。 站内 RRSI 文章记录过一个负结果：去掉正则后进化集得分冲到 92.8，真实泛化却只有 40.3——带外监控正是为了打破这种"在评估集上不可见的退化"。

Q: 权限随推理可见性扩展，对资产保全具体怎么用？

A: 把任务分型翻译成权限分级。 站内已有文章把资产保全任务分为四类：流程／工具型、文书／口径型、窄分类型、经验判断型。按 NVIDIA 的原则重述：流程／工具型任务规则明确、推理可见性高，可以给较高权限；经验判断型任务"不可回退、不可归因"，推理过程无法被充分看见，因此不该拿到执行权限，只能做材料准备与选项呈现。 这不是限制创新，而是把"可解释性"从一句合规要求翻译成一条权限规则——与金发〔2026〕8号第（二十二）条"可解释性不足仅能作为辅助工具"形成闭环。

Q: NVIDIA 说开源权重让推理空间可见，是不是意味着银行该换开源模型？

A: 不是"换"，是"在高风险任务上优先"。 NVIDIA 的博客说开源权重的一个优势是"the entire reasoning space and activations are all visible"（PRIMARY）。对银行的含义是：在高风险 agent 任务上，可解释性要求越高，越应该倾向开源权重模型——因为只有权重可见，你才有可能看见推理过程，才有可能据此扩展权限。 一个闭源 API 模型，你永远无法验证它的推理空间，因此按"权限随推理可见性扩展"这条原则，它的权限天花板天然更低。这与站内 DeepSeek Harness 文章的判断一致：DeepSeek-V4.1-Flash 是 MIT 许可、权重开放，适合银行私有化部署。

Q: 本文的事实可靠吗？哪些是推不出来的？

A: 平台事实全部来自一手源：官方新闻稿、开发者博客、GitHub 仓库（Apache-2.0 许可、10,543 star 均为核验日取得）。需要谨慎的有两处：其一，NVIDIA 说其平台"本可以阻止"OpenAI agent 入侵 Hugging Face 事件——这是 NVIDIA 自己的说法，公司自报，未经独立验证；事件本身有 CNBC 与华盛顿邮报报道（SECONDARY）。其二，五条核心原则来自 NVIDIA 开发者博客，是厂商自述的设计理念，不是第三方评测的结论。明确未核实的：OpenShell 的内部实现细节（本文未审读源码）；Citi 与 JPMorganChase 作为合作伙伴的具体使用场景未披露；以及银行侧是否有机构已基于该平台构建中台的公开案例——未能找到。此外，第八节的五层架构表与第十节的结论全部为本文分析，不是 NVIDIA 官方的分层。