AI 智能体可以完成任务，但也可能跨越安全边界。最近发生的事件表明，智能体可以利用工具、凭证和服务来规避安全控制，以实现其既定目标。监测和执行需要在智能体可触及的范围之外运行，这样智能体就无法更改或禁用它们。
NVIDIA Sentry 是一个安全软件框架，用于监测 AI 智能体并强制执行管控其对模型、工具和数据访问的策略。它作为 NVIDIA OpenShell 参考架构的一部分在 GTC 柏林期间亮相。它基于 NVIDIA DOCA 构建，运行在 NVIDIA BlueField-4 DPU 上，为 AI 智能体提供主机隔离的运行时保护。NVIDIA Sentry 能够验证智能体是否按照其设计意图并在其定义的操作边界内运行。
即使主机资源不可信，NVIDIA Sentry 依然保持受信。它控制着智能体与模型之间的唯一路径，在对智能体访问进行细粒度安全控制的同时，提供防篡改的智能体活动可追溯性。除了检查智能体通信之外，NVIDIA Sentry 还使用带外可观察性来建立实时态势感知，持续评估智能体的运行时安全和行为，以验证其安全性和完整性。
本文将介绍 NVIDIA Sentry 如何独立于主机软件来评估智能体请求、检测威胁并执行安全策略。
用于智能体运行时保护的独立安全层
早期关于代理式 AI 安全的文章介绍了 NVIDIA BlueField 如何在与主机独立的硬件信任域中运行安全服务。
NVIDIA Sentry 在这一基础上进一步构建而成。它独立于主机软件，可持续监测 AI 智能体行为并强制执行访问策略，在智能体无法触及的单独硬件信任域中建立严格的安全边界，以确保智能体在设计意图范围内运行。
软件运行时边界仍然至关重要。NVIDIA OpenShell 用于自主智能体的安全运行时，负责管理智能体可以执行的操作。OpenShell 将策略执行与智能体工作负载分离，因此即使智能体被入侵，也无法更改自己的限制。NVIDIA Sentry 在此基础上进一步增加带外独立硬件安全港，它运行在 BlueField-4 上，处于智能体的触及范围和知识之外。
在 OpenShell 参考架构中，智能体运行在 NVIDIA Vera CPU 上，而 BlueField-4 则位于节点通往模型的唯一路径上。NVIDIA Sentry 会检查智能体与模型之间的通信，并强制执行访问策略，而无需依赖智能体报告其自身行为。内存内审会添加相关智能体执行环境（例如容器或微型虚拟机）的上下文，以帮助检测外部威胁和智能体异常行为。
治理智能体通信
DOCA Tower 是 NVIDIA Sentry 的 AI 安全网关。它基于开源边缘和服务代理 Envoy 构建，作为智能体流量的透明代理，在智能体和外部环境之间实现双向检查层。
智能体网络流量通过直接网络 I/O 路径到达 BlueField-4，绕过了主机 OS/虚拟机管理程序的数据包处理。由于 BlueField-4 位于通往模型和外部世界的唯一路径上，因此智能体的所有网络通信都由 NVIDIA Sentry 管理。
智能体的网络访问边界由 DOCA Flow 和 DOCA Tower 控制，它们协同工作，以限制智能体仅能访问已批准的资源。DOCA Flow 用于为每个智能体实现一个第 4 层的防火墙，由 BlueField-4 的芯片进行加速。防火墙会阻止与未经授权的目的地建立连接，并将允许的流量转发到 DOCA Tower 进行第 7 层（应用层）检查、授权和额外的安全检查。
DOCA Tower 作为透明代理，使用内置的芯片内 TLS 加速执行传输层安全（TLS）终止。对于配置为需要检查的连接，它会解密第 4 层防火墙允许的智能体流量，以检查和控制智能体通信。
NVIDIA Sentry 使用 Open Policy Agent 开放策略引擎智能体（OPA）来根据定义的策略评估访问请求。OPA 使用声明式领域特定语言 Rego，用于评估复杂的分层数据结构。OPA 在本地内存中运行，可以根据策略的复杂性和配置在毫秒内完成评估请求。
DOCA Tower 兼容 OpenShell 策略，使用 OPA 将网络访问策略和运行时控制扩展到 BlueField-4 和网络基础设施。
借助运行时上下文执行智能体访问策略
智能体的网络通信仅提供评估其安全性和完整性所需的部分信息。了解智能体的运行环境，为评估访问请求提供了传统资源访问策略之外的上下文。
DOCA Argus 可实时了解智能体执行环境和运行状态，为 NVIDIA Sentry 提供有关智能体访问请求的更多上下文信息。
它使用实时内存内审来分析易失性主机内存的选定区域，并获取系统运行状态的独立证据。
DOCA Argus 独立于主机运行，在 BlueField-4 上分析主机内存，无需主机驻留代理。这种无智能体设计在保留主机计算资源的同时，提供独立的运行时可见性。DOCA Argus 在主机之外的独立信任域中运行，即使主机受到攻击，它也不会被主机软件波及。
DOCA Argus 可实时映射执行环境（例如，容器到各自的 Pod，以及沙箱到微型虚拟机），并识别每个环境中的运行进程及其属性。它还映射了进程和线程、文件访问、网络连接、加载的库、CPU、GPU、内存和其他系统资源之间的关系。DOCA Argus 使用关联的哈希值来跟踪容器、进程和加载的库。
这种运行时上下文使 NVIDIA Sentry 能够将智能体访问请求与背后的进程和执行环境关联起来，从而执行既考虑请求操作又考虑执行请求的智能体的安全性和完整性的策略。
使用运行时上下文评估智能体访问
NVIDIA Sentry 将 DOCA Tower 的网络连接信息与 DOCA Argus 的运行时上下文相关联，以评估访问请求。NVIDIA Sentry 使用此上下文，根据 DOCA Argus 提供的其他属性和断言来执行策略。它还通过运行时上下文丰富了智能体活动的防篡改记录，减少了对下游关联的需求。
图 1 显示了这些检查的工作原理。DOCA Tower 使用其策略引擎将网络连接与其启动的智能体进程、其属性及其所属的容器相关联。例如，网络访问策略可以要求容器的哈希值与已批准的容器哈希值列表相匹配。它还要求通过哈希值识别的启动进程出现在容器软件物料清单（SBOM）中，具有发起网络连接的权限，并使用经批准的执行路径和命令行参数。然后，DOCA Tower 会检查策略是否允许请求的访问，例如，访问 API 和执行请求操作的权限。
NVIDIA Sentry 使用 DOCA Argus 的实时观察和警报来持续评估智能体安全性。潜在的警告信号包括执行未经批准的工具；使用 ptrace 攻击另一个进程或生成一个攻击智能体的进程；出现大量的出站流量表明数据泄露；未经授权的文件访问或更改；CPU 峰值占用；临时文件夹的过度写入；以及大规模文件删除。当 NVIDIA Sentry 检测到任何偏差时，它可以请求毫秒级芯片内遏制。
将控制扩展到智能体交互
智能体安全策略需要管理沙盒中进出的内容。请求可能会暴露敏感信息或发起未经授权的操作。响应可能会引入恶意指令或其他内容，从而使智能体偏离其既定目标。
NVIDIA Sentry 使用 DOCA Tower 的可扩展检查功能来对请求和响应进行控制。这些控制可以：
- 对智能体通信应用 IP、URL 和协议级限制。
- 捕获智能体请求、响应和数据流的防篡改记录，用于行为分析和调查。
- 治理智能体之间（A2A）和模型上下文协议（MCP）流量。
- 检测并隐藏个人身份信息和机密信息，包括 API 密钥、令牌和密码。
- 识别并屏蔽策略禁止的内容。
NVIDIA Sentry 会在整个智能体会话期间评估检查过的请求和响应，并在智能体访问模型、工具、API 和服务时应用策略。
使用专用模型评估智能体行为
NVIDIA Sentry 与专用 AI 模型集成，使用工具调用和可用的推理跟踪来分析智能体通信并对智能体行为进行分类。这些模型在本地或在专用的 GPU 加速系统上远程运行。分类器评估智能体的行为是否与智能体的设计意图保持一致，或者是否表明行为发生偏差。
这些模型可以对智能体的内联通信或带外通信进行分类。内联分类可以在潜在有害内容到达目的地之前触发拦截。带外分类可以在检测到智能体行为不当后触发响应操作。
防篡改的活动记录和检测结果为进一步的事件调查提供了专业证据。
智能体通信需要连续分类以检测不当行为。DOCA Argus 通过对智能体操作环境的持续分析来评估运行时安全和行为，从而补充了这种分类。
NVIDIA Sentry 可利用 BlueField-4 芯片内执行功能，在不依赖智能体或主机软件的配合下，在几毫秒内将智能体隔离。
当软件边界失效时，这种独立的控制尤其重要。即使智能体逃离沙箱，NVIDIA Sentry 仍可保留其监测和执行功能，因为它在隔离的 BlueField-4 信任域中运行。
企业安全平台还可以使用 NVIDIA Sentry 遥测来关联检测结果并请求响应操作。受保护的记录会保留造成行动时观察到的活动和策略上下文，以便于后续审查。
在访问决策中使用智能体身份
安全控制必须将智能体的身份与其权限和请求的操作联系起来。NVIDIA Sentry 在应用层策略评估中使用此身份上下文。DOCA Tower 集成了 SPIFFE/ SPIRE 支持可验证的工作负载身份，并支持与合作伙伴身份系统集成。
身份信息可以确定谁在发出请求。授权策略决定了一个身份可以访问哪些资源以及允许执行哪些操作。运行时证据则添加了与请求相关的执行环境上下文。
这种方法将身份和运行时安全联系起来。如果智能体的行为或完整性发生变化，NVIDIA Sentry 可以在评估后续访问请求时使用该上下文，并应用组织定义的策略。
保留智能体活动的可信记录
即使智能体已逃离沙盒或更改了基于主机的日志，安全团队也需要证据来进行事件调查。
NVIDIA Sentry 使用 BlueField-4 的独立信任域生成经认证的遥测数据和防篡改记录。DOCA Tower 在智能体和主机软件无法触及的位置记录了受检查通信和策略决策，而 DOCA Argus 则提供了独立观察到的运行时信号。
智能体可能在自己的环境中更改日志，却无法对 BlueField-4 上维护的受保护记录进行相同的更改。
认证可为遥测的来源和完整性提供可验证的证据。安全团队可以使用这些记录重建观察到的交互，审查执行决策，并为审计提供支持。
NVIDIA Sentry 可以将这些遥测数据提供给企业安全平台，例如 XDR 和 SIEM 平台以及安全数据湖，将智能体活动与更广泛的威胁情报、检测逻辑和事件响应工作流连接起来。
通过企业安全功能扩展 NVIDIA Sentry
NVIDIA Sentry 使开发者和网络安全提供商能够通过 DOCA 库和微服务扩展监测、治理和执行。
DOCA Tower 利用 Envoy 的可扩展性，使合作伙伴能够适配现有插件或开发新的插件，以便在 BlueField 上运行。这为将访问控制、内容检查、遥测和专用检测逻辑集成到应用层路径中提供了一个熟悉的基础。
NVIDIA 计划发布核心插件以加速开发，其中包括一个暴露智能体通信的插件，以便进一步分析可用的推理轨迹。
合作伙伴可以将这些功能与自己的身份服务、AI 分类器、威胁智能和安全运营平台相结合。NVIDIA Sentry 提供独立的运行时可见性和基础设施执行，而互连平台则引入企业上下文并协调调查和响应。
为 AI 智能体构建分层保护
扩展代理式 AI 需要持续了解和控制智能体在整个执行过程中可以访问和执行的内容。NVIDIA Sentry 将控制功能引入到独立的基础设施域中，将 DOCA Tower 的应用层检查与 DOCA Argus 的运行时证据和可见性以及 BlueField-4 上的芯片内执行相结合。
NVIDIA Sentry 与 NVIDIA OpenShell 一起将保护从软件执行边界扩展到硬件隔离防护。它使安全团队能够一起评估智能体身份、权限、交互和运行时完整性，并在行为超出定义的边界时采取行动。
开发者和网络安全团队可以开始在 NVIDIA DOCA 上探索这些基础。NVIDIA Sentry 计划于明年初发布，在此之前，可用的库和微服务（包括 DOCA Argus、DOCA Flow 和 OVS-DOCA）为实验带外可观察性和基础设施执行提供了起点。
