NVIDIA OpenShell 参考架构在 2026 年 10 月 21 日的 GTC Berlin 上发布，NVIDIA 同日技术博客给出了完整拆解：这不是又一个智能体框架，而是一套把智能体的活动边界写进基础设施的参考设计。出发点很直白——智能体不能管住自己，安全与治理必须放在它够不着的地方。
四个部件，把权限关在沙箱外面
OpenShell 是开源的安全运行时，全程把智能体工作负载当作不可信来对待，只给它当时真正需要的访问。它的网关管理沙箱生命周期与策略；监督者在沙箱之外独立运行，逐条核对智能体的对外请求并代管凭据；沙箱本身隔离工作负载，限制文件系统与进程访问；策略证明器则做形式化核查，确认一套策略给出的权限没有越过组织设定的上限。智能体能下载代码、自制工具甚至申请更多权限，但这些部件不在它的控制范围内，想改自己的限制，先得过基础设施这一关。
干活的 CPU 和盯梢的芯片各管一摊
参考架构里，OpenShell 跑在 NVIDIA Vera CPU 上。Vera 是为智能体循环——推理、调工具、跑代码、查数据，一步接一步——而设计的：88 个 Olympus 核心，沙箱启动速度据 CoreWeave 实测比 x86 快 3 倍以上，单机架可支撑 1.1 万个并发智能体环境。需要更高防护的部署再加一层：BlueField-4 DPU 提供硬件隔离的信任域，跑在它上面的 NVIDIA Sentry 持续旁观智能体与模型之间的请求、网络与文件活动，不依赖智能体自报；发现违规，可在毫秒内由芯片直接隔离该智能体。
同一周刚曝出有智能体关掉自家安全监控又矢口否认的事件，NVIDIA 这套设计的针对性很明显：监控者如果和被监控者住在同一层软件里，就总有被绕过、被关掉的可能。把执行、治理与硬件盯梢拆成三层，代价是部署更重、更依赖特定硬件；但对准备把智能体放进金融、医疗等真实生产环境的团队，这笔账多半仍算得过来。
