简短回答
NVIDIA 于 2026 年 9 月 28 日发布了其 Open Agent Safety 平台：OpenShell，一个现已可用的 Apache 2.0 运行时边界；以及 Sentry，NVIDIA 称之为参考系统设计的 DPU 看门狗。已交付的部分是软件，而在 ibl.ai 上，所有代码和数据都归你所有。
如今生产环境中几乎所有的 Agent 遏制控制都与它所约束的 Agent 运行在同一个软件栈中。这是该领域所有人都一直在背负的结构性弱点，而 NVIDIA 刚刚瞄准的正是这一点。
NVIDIA 实际上发布了什么？
两个组件和一个配套软件层，于 2026 年 9 月 28 日发布。
OpenShell 是一个开源运行时，为 CPU 上的 Agent 建立安全边界——“一个用于控制自主 AI Agent 如何跨开放和封闭模型执行任务的安全运行时边界”。它会追踪 Agent 的行为，并在其运行时执行策略。它面向 NVIDIA 的 Vera CPU——被描述为首款专为 Agentic AI 打造的 CPU——并可扩展至来自 Arm 和 Intel 的第三方处理器。
Sentry 是一个运行在 BlueField-4 DPU 上的带外看门狗。它持续监控 Agent 的行为，如果 Agent 试图越出其软件边界，会在毫秒级内将其隔离并停止。NVIDIA 的 DOCA 软件提供了可编程层，用于检查 Agent 请求、验证身份并执行访问策略。
两者处于截然不同的阶段，而发布说明对此表述得很精确。NVIDIA 表示该平台“由 NVIDIA OpenShell 开源软件和 NVIDIA Sentry 参考系统设计组成”。
其可用性说明涵盖“OpenShell 和 skills”。BlueField-4 本身预计于 2026 年随 NVIDIA 的 Vera Rubin 平台进入早期可用阶段——但要在其上运行的 Sentry 这一控制组件，却完全没有发布日期。
OpenShell 是真实存在的，今天即可在 Apache 2.0 许可下下载。Sentry 则是一个供他人据此构建的设计。
为什么“带外”比“毫秒级”更重要？
因为与被控制对象共享命运的控制，并不是真正的控制。
大多数平台交付的每一种遏制机制——沙箱、出站白名单、护栏模型、系统调用过滤器，包括我们自己的——都运行在与 Agent 相同的操作系统内，而且往往处于相同的信任域中。
如果 Agent 找到逃出其“盒子”的方法，它就站在本应阻止它的那个东西旁边。
运行在独立处理器上的看门狗不会共享这种命运。这与当年把管理控制器放在独立芯片上、把防火墙放在独立设备上是同一个论点，只不过这次应用在一个会自己决定下一步动作的工作负载上。
毫秒级数字是头条；分离才是实质。
这是真实的采用，还是发布日的产品清单？
超过 100 家组织 被列为该平台的合作方，而且这份名单的范围异常广泛。
其中包括 Anthropic、Microsoft、Cisco、CrowdStrike、Dell Technologies、Figure、HPE、Hugging Face、JPMorganChase、Palantir、Palo Alto Networks、Perplexity、Red Hat、Salesforce、SAP、Scale AI、ServiceNow 和 SpaceXAI。
一家模型实验室、两家超大规模云厂商、一家银行、一家国防承包商和一家火箭公司——这不是某个市场细分，而是一个信号：Agent 隔离已经从一项功能变成了基础设施。
有哪笔交易是没人写进幻灯片里的？
可移植性。开放的那一半和强大的那一半，并不是同一半。
| 层级 | 它给你什么 | 它把你绑定到什么 |
|---|---|---|
| OpenShell 现已可用 | 运行时边界、操作追踪、策略执行 | 没有硬性绑定——Apache 2.0，可扩展至 Arm 和 Intel |
| Sentry 参考系统设计——无发布日期 | 带外执行、毫秒级隔离 | BlueField-4 DPU |
| 你的平台 | 沙箱、出站策略、密钥、审计日志 | 你选择的东西——这是你仍然可以自己掌控的部分 |
公告中最强的控制手段，恰恰是那个还不是产品的。这不是批评——参考设计本来就是这类执行机制通常的起点——但它改变了你今年能用它做什么。
你无法围绕一个参考系统设计进行标准化，也无法为它定价：没有 SKU，也没有正式发布（GA）日期。
同样值得注意的是，NVIDIA 说 OpenShell 可扩展至 Arm 和 Intel，但对 Sentry 却只字未提——所以当芯片内执行机制真正发布时，可移植性问题也会随之而来。
这是否让软件隔离变得过时了？
不，而且这样认为将是一个错误。
硬件执行是软件边界失效时的兜底手段。它并不决定边界应该是什么。
仍然需要有东西来规定：这个 Agent 只能访问这些主机而不能访问其他主机，这个凭据可使用但不可读取，这个操作需要审批——然后把发生的事情以审计人员能够读取的形式记录下来。
这个策略层正是你要自己编写的，也是在一个没有 BlueField-4 的环境中必须真实生效的那一层：一台笔记本电脑、一个小型学区的机房、一个其认证规定禁止硬件更新的设施。
一个缺失的边界是出站而非执行、Agent 在没有利用任何漏洞的情况下将 13,000 张内部图片发布到公共代码库的案例，见 PixelLeak：13,000 张截图泄露，却没有任何系统被入侵。
ibl.ai 在这其中处于什么位置？
在它之上的那一层，而且是刻意为之。
我们的 Agent 沙箱为每个聊天会话提供独立的 Linux 虚拟机，启动时完全没有网络，仅对精确的 host:port 白名单开放，并且 API 密钥可供 Agent 调用但永远无法读取。
每一项隐私检测都会写入一个只读的审计端点，该端点只记录实体类型，从不记录原始值。
这些都不能替代带外看门狗。它正是看门狗要执行的策略，而且今天就能在你已有的硬件上运行。
在 ibl.ai 上，代码和数据都归你所有。该平台以永久许可在你的自有基础设施上运行，对任何 LLM 都保持模型无关，没有按席位定价——而且你可以部署在任何地方：你的云、你的 VPC、本地部署、GovCloud，甚至完全物理隔离的环境。
ibl.ai 是一家位于纽约市的家族拥有和经营的企业——一家总部位于美国、由本土持有的长期合作伙伴，而不是卖完许可证就一走了之的供应商。
可审查的隔离胜过被承诺的隔离。开源运行时和独立芯片上的看门狗都是朝这个方向迈出的一步——而拥有它们所执行的策略也是如此。
资料来源：组件、硬件、可用性及合作伙伴列表来自 NVIDIA 的公告；OpenShell 的 Apache 2.0 许可证和内核级隔离来自 NVIDIA 的开发者博客 和 OpenShell 仓库；BlueField-4 的时间信息来自 NVIDIA 的 BlueField-4 公告。
相关阅读：让 K-12 AI Agent 运行代码而不让数据外泄——详细介绍软件策略层，买家是一个学区。
相关阅读：Perplexity 开源了其 Agent 沙箱。泄露的是网络，而非虚拟机。——10 月的这次发布将 Firecracker microVM 边界置于 Apache-2.0 之下，而其自身评测记录了网络限制的绕过方式。
相关阅读：前沿部署工程：四层 Agent 技术栈——运行时隔离在生产级 Agent 技术栈四层中的位置 · Microsoft 赋予 Copilot Agent 身份。谁拥有它？——9 月的另一次治理变革及其落地状态。