在柏林举行的GTC大会上，红帽（Red Hat）与英伟达（NVIDIA）联合发布了一套针对自主AI智能体的分层安全架构。该架构基于操作系统安全领域“不信任进程自我约束”的核心原则，首次将其应用于企业级AI部署。
此次发布的方案涵盖开源智能体沙箱运行时、运行于英伟达BlueField数据处理单元（DPU）上的硬件级内存取证系统，以及模型治理参考设计。此举旨在应对当前AI治理的滞后：德勤调查显示，仅21%的组织拥有成熟的智能体AI治理模型；Gartner则将智能体AI监管列为2026年首要网络安全趋势。
重构智能体安全边界
自主AI智能体在无需持续人工监督下即可规划并执行多步任务，往往被赋予对企业数据和API的广泛权限。这导致两类主要风险：一是配置错误致使智能体越权；二是遭受提示注入、模型权重中毒或供应链漏洞攻击。
OWASP LLM Top 10报告指出，提示注入仍是最大安全风险。云安全联盟2026年4月研究笔记显示，2025年11月至2026年2月间，网页恶意间接提示注入（IPI）激增32%。英国国家网络安全中心（NCSC）认为，提示注入可能源于LLM固有设计缺陷，需通过架构层面而非单纯软件过滤来修复。
红帽与英伟达指出，传统将护栏嵌入智能体代码的方案存在结构性不足。英伟达企业软件副总裁John Fanelli表示：“智能体不应强制执行其自身边界，控制应位于智能体之外的运行环境和基础设施中。”
OpenShell：内核级执行隔离
架构第一层为NVIDIA OpenShell，这是一个基于Rust构建的开源（Apache 2.0）智能体沙箱运行时。红帽正致力于将其作为原生功能集成至其AI平台。
OpenShell利用Linux Landlock文件系统隔离、seccomp BPF系统调用过滤及网络命名空间，在内核级别创建执行边界。其策略引擎作为独立于进程的组件运行，确保受损智能体无法触及或禁用执行机制。文件系统和进程策略在沙箱创建时锁定，网络和推理策略则可动态更新。
以API凭证为例，原始密钥存储于主机沙箱之外，经OpenShell网关路由。沙箱化智能体仅接收模型响应，不接触底层凭证，从而即使代码被攻陷也无法窃取密钥。NemoClaw作为生命周期管理器，负责跨执行层管理沙箱策略。
硬件级防篡改监控
架构第二层为NVIDIA Sentry安全框架，运行于英伟达BlueField DPU内的Arm处理器上，与主机CPU物理隔离。Sentry部署NVIDIA DOCA Argus软件，直接从DPU隔离硬件域对主机内存进行实时取证，无需在主机组件安装监控代理。
由于监控运行在独立硬件域，主机受损工作负载无法欺骗或禁用该系统。当Argus检测到异常行为（如意外进程或未经授权连接）时，可触发BlueField网络策略，在毫秒级隔离受影响工作负载，阻断提示注入在多智能体管道中的蔓延。此外，将安全功能卸载至DPU可释放主机CPU算力，服务于AI推理负载。
解耦治理与推理基础设施
第三支柱为模型治理参考设计，结合红帽AI Gateway与英伟达Inference Hub（整合vLLM、llm-d、NVIDIA Dynamo及NIM微服务）。该设计将访问策略与模型执行解耦，支持自助式模型发现、速率限制及订阅权利跟踪，便于企业在混合云环境中调整计算配额并满足欧盟《人工智能法案》等合规要求。
双方还宣布在vLLM推理引擎和红帽AI Factory with NVIDIA中联合支持NVIDIA Nemotron 3.5 Super VL多模态模型，通过量化和推测解码技术降低推理延迟。
硬件路线图与合作伙伴生态
2026年3月发布的RHEL for NVIDIA 26.03增加了对英伟达Vera CPU的支持，定位为Vera Rubin数据中心平台的操作系统层。该版本保留标准RHEL用户空间（含SELinux），为企业提供了从早期硬件访问过渡到主线RHEL的路径，避免了永久分叉风险。
思科、戴尔科技和联想等硬件合作伙伴将交付联合用例和参考设计。目前，红帽在其AI平台中原生集成OpenShell的工作仍在进行中。
常见问题解答
OpenShell与内置软件护栏有何不同？
内置护栏由智能体自身执行，受损后可被禁用或规避。OpenShell策略引擎作为独立组件，通过Linux内核机制强制执行，智能体无法访问执行层，确保规则不被篡改。
DOCA Argus如何实现无代理监控？
DOCA Argus运行在与主机CPU物理分离的BlueField DPU上，拥有独立OS和内存空间。它通过硬件控制的直接内存访问读取主机内存，无需安装代理。受损主机无法触及监控系统，Argus可在秒级隔离异常工作负载。
2026年企业面临的最大AI安全风险是什么？
Gartner指出，未经授权的智能体缺乏决策边界和实时监控是主要风险。提示注入（尤其是间接注入）成为主要利用技术，相关攻击显著上升。同时，74%的组织计划2027年大规模部署智能体，但仅21%具备成熟治理框架，差距巨大。
OpenShell是否兼容现有OpenShift部署？
红帽正将OpenShell原生集成至OpenShift和RHEL，目前尚在进程中，未全面可用。底层DPU安全层基于OpenShift 4.22的BlueField-3支持。企业可通过思科、戴尔和联想提供的参考设计进行评估。