摘要

NVIDIA Sentry 是监控 AI 智能体、并对其访问模型/工具/数据的策略进行强制执行的软件框架，属于在 GTC Berlin 发布的 NVIDIA OpenShell 参考架构的一部分，构建在 NVIDIA DOCA 之上、运行于 BlueField-4 DPU。它通过 DOCA Tower（AI 安全网关，基于 Envoy 的透明代理）做 L4 硅中防火墙与 L7 检查，用 OPA/Rego 策略引擎在 1 毫秒内完成评估；DOCA Argus 提供对主机内存的无代理实时内省作为运行时上下文；可在毫秒级完成智能体隔离，计划明年初可用。

正文（译文）

NVIDIA Sentry 详解：在运行时保护 AI 智能体

NVIDIA Sentry 治理智能体的访问请求、监控运行时活动，并在一个隔离的硬件安全层中以毫秒级遏制威胁。

一个 AI 智能体可以完成它的任务，同时仍然越过了安全边界。近期的事件表明，智能体在追求既定目标的过程中，可能在使用工具、凭据与服务的当口绕开安全控制。监控与强制执行必须运行在智能体触及不到的地方，这样它才无法篡改或关闭这些机制。

NVIDIA Sentry 是一个安全软件框架，用于监控 AI 智能体，并对管控其访问模型、工具与数据的策略强制执行。它是在 GTC Berlin 上发布的 NVIDIA OpenShell 参考架构的一部分，构建于 NVIDIA DOCA 之上，运行在 NVIDIA BlueField-4 DPU 上，为 AI 智能体提供与主机隔离的运行时保护。NVIDIA Sentry 验证智能体是否按其设计意图、并在其定义的操作边界之内运作。

即便主机资源不可信，它仍然可信：它控制着智能体通往模型的唯一路径，提供防篡改的智能体活动可追溯记录，同时在硅片中对智能体访问施加细粒度的安全控制。除检查智能体通信外，NVIDIA Sentry 还使用带外可观测性建立实时态势感知，持续评估智能体的运行时安全与行为，以验证其安全性与完整性。

面向智能体运行时保护的独立安全层

NVIDIA Sentry 在此前的基础上，持续监控 AI 智能体行为，并独立于主机软件强制执行访问策略，在智能体触及范围之外建立一个独立的硬件信任域内的严格安全边界，使智能体始终运行在既定意图之内。

软件运行时边界依然关键。NVIDIA OpenShell 是面向自主智能体的安全运行时，治理智能体能做什么。OpenShell 把策略执行与智能体工作负载分离，因此被攻陷的智能体无法更改自身的限制。NVIDIA Sentry 在带外增加了一层独立的硬件保障，运行在 BlueField-4 上，处于智能体的触及范围与认知之外。

在 OpenShell 参考架构中，智能体运行在 NVIDIA Vera CPU 上，而 BlueField-4 位于该节点通往模型的唯一路径上。NVIDIA Sentry 检查智能体与模型之间的通信并强制执行访问策略，不依赖智能体上报自己的行为。内存内省则补充了智能体执行环境（如容器或 microVM）的上下文，帮助发现外部威胁与智能体不当行为。

治理智能体通信

DOCA Tower 是 NVIDIA Sentry 的 AI 安全网关。它基于开源边缘与服务代理 Envoy 构建，作为智能体流量的透明代理，在智能体与外部环境之间放置一个双向检查层。

智能体的网络流量通过一条绕过主机操作系统/虚拟机监控器报文处理的直接网络 I/O 路径抵达 BlueField-4。由于 BlueField-4 位于通往模型与外部世界的唯一路径上，智能体的全部网络通信都由 NVIDIA Sentry 治理。

智能体的网络访问边界由 DOCA Flow 与 DOCA Tower 协同控制，限制智能体只能访问已批准的资源。DOCA Flow 在 BlueField-4 上以硅片加速实现每智能体一层的第四层防火墙。该防火墙阻断通往未授权目的地的连接，并把允许的流量转发给 DOCA Tower 做第七层（应用层）检查、授权与额外安全检查。

DOCA Tower 作为透明代理，利用内置的硅中 TLS 加速完成 TLS 终止。对于配置为需要检查的连接，它会解密第四层防火墙放行的智能体流量，以检查和控制智能体通信。

NVIDIA Sentry 使用开源策略引擎 Open Policy Agent（OPA）对照既定策略评估访问请求。OPA 使用 Rego——一种为评估复杂层次化数据结构而设计的声明式领域专用语言。OPA 在本地内存中运行，依据策略复杂度与配置不同，可在 1 毫秒以内完成请求评估。

DOCA Tower 与 OpenShell 策略兼容，借助 OPA 把网络访问策略与运行时控制延伸到 BlueField-4 及基础设施层。

以运行时上下文强制执行智能体访问策略

智能体的网络通信只提供了评估其安全性与完整性所需的部分信息。对其执行环境的可观测性，为评估访问请求增加了超出传统资源访问策略的上下文。

DOCA Argus 提供对智能体执行环境与运行状态的实时可见性，为 NVIDIA Sentry 评估访问请求提供额外上下文。它使用实时内存内省来分析选定的易失性主机内存区域，获得系统运行状态的独立证据。

DOCA Argus 独立于主机运行，在 BlueField-4 上分析主机内存，且不在主机内部署任何代理。这种无代理设计在保留主机算力的同时提供了独立的运行时可见性。由于运行在主机之外自己的隔离信任域中，即便主机被攻陷，DOCA Argus 仍处于主机软件的触及范围之外。

DOCA Argus 实时测绘执行环境——例如容器到各自的 Pod、沙箱到 microVM——并识别每个环境中正在运行的进程及其属性。它还测绘进程与线程之间、文件访问、网络连接、已加载库、CPU、GPU、内存与其他系统资源之间的关系。DOCA Argus 通过各自的哈希来追踪容器、进程与已加载的库。

这些运行时上下文让 NVIDIA Sentry 能够把智能体的访问请求与其背后的进程和执行环境关联起来，从而执行同时考虑"被请求的动作"与"发起请求的智能体自身安全性与完整性"的策略。

借助运行时上下文评估智能体访问

NVIDIA Sentry 把来自 DOCA Tower 的网络连接信息与来自 DOCA Argus 的运行时上下文关联起来，以评估访问请求，并据此执行基于 DOCA Argus 提供的附加属性与断言的策略。它还用运行时上下文丰富防篡改的智能体活动记录，减少下游关联分析的需要。

图 1 展示了这些检查如何工作。DOCA Tower 用其策略引擎把一条网络连接与发起该连接的智能体进程、其属性以及所属容器关联起来。举例来说，一条网络访问策略可以要求容器的哈希匹配一份已批准容器哈希清单；也可以要求发起进程（以其哈希标识）出现在容器的软件物料清单（SBOM）中、具备发起网络连接的权限，并使用已批准的执行路径与命令行参数。随后 DOCA Tower 检查策略是否允许所请求的访问——例如对某个 API 的访问，以及执行所请求动作的许可。

NVIDIA Sentry 利用 DOCA Argus 的实时观测与告警持续评估智能体的安全性。潜在告警信号包括：执行未批准的工具；使用 ptrace 攻击另一进程或派生进程来攻击该智能体；暗示数据外泄的过量出站流量；未授权的文件访问或改动；CPU 突增；对临时文件夹的过量写入；以及大规模文件删除。当 NVIDIA Sentry 检测到任何偏离时，它可以请求毫秒级的硅中遏制。

把控制延伸到智能体的交互

智能体的安全策略必须同时管住流出沙箱的内容与流回沙箱的内容。请求可能暴露敏感信息或发起未授权操作；响应则可能引入恶意指令或其他内容，把智能体从既定目标上引开。

NVIDIA Sentry 利用 DOCA Tower 可扩展的检查能力，对请求与响应施加控制。这些控制可以：

• 对智能体通信施加 IP 级、URL 级与协议级限制。

• 捕获智能体请求、响应与数据流的防篡改记录，用于行为分析与调查。

• 治理智能体到智能体（A2A）与模型上下文协议（MCP）的流量。

• 检测并脱敏个人身份信息与密钥，包括 API key、token 与密码。

• 识别并阻断策略禁止的内容。

NVIDIA Sentry 在智能体会话全程对受检的请求与响应进行评估，在智能体访问模型、工具、API 与服务时应用策略。

用专用模型评估智能体行为

NVIDIA Sentry 与专用 AI 模型集成，利用工具调用与可用的推理轨迹分析智能体通信并分类其行为。这些模型可在本地或远程的专用 GPU 加速系统上运行。分类器评估智能体的行为是否与其设计意图一致，或是否已出现行为漂移。

这些模型可以内联或带外地对智能体通信分类。内联分类可在潜在有害内容抵达目的地之前触发阻断；带外分类则可在检测到智能体不当行为后触发响应动作。

防篡改的活动记录与检测结果，为进一步的事后调查提供取证证据。智能体通信需要持续分类才能发现不当行为；DOCA Argus 则以对运行环境的持续分析作为补充，评估运行时的安全性与行为。

NVIDIA Sentry 可以借助 BlueField-4 的硅中强制执行能力，在毫秒级完成对智能体的遏制与隔离，且不需要智能体或主机软件的配合。

当软件边界失效时，这些独立控制就变得关键。即使智能体逃出了自己的沙箱，NVIDIA Sentry 仍保有监控与强制执行能力，因为它运行在 BlueField-4 的隔离信任域中。

企业安全平台也可以使用 NVIDIA Sentry 的遥测来关联检测结果并请求响应动作。受保护的记录会保留观测到的活动与导致强制执行的策略上下文，以供后续复盘。

在访问决策中使用智能体身份

安全控制必须把智能体的身份与其权限、被请求的动作关联起来。NVIDIA Sentry 在应用层策略评估中使用这一身份上下文。DOCA Tower 与 SPIFFE/SPIRE 集成以支撑可验证的工作负载身份，并支持与合作伙伴身份系统集成。

身份确立了"谁在发起请求"。授权策略决定某个身份可以访问哪些资源、允许执行哪些操作。运行时证据则为与该请求关联的执行环境补充上下文。

这一做法把身份安全与运行时安全连接起来。如果智能体的行为或其完整性发生变化，NVIDIA Sentry 可以在评估后续访问请求时使用这一上下文，并应用组织既定的策略。

保存可信的智能体活动记录

安全团队需要用于事件调查的证据，即便智能体已经逃出沙箱或篡改了基于主机的日志。

NVIDIA Sentry 利用 BlueField-4 的独立信任域生成经证实的遥测与防篡改记录。DOCA Tower 把受检通信与策略决策记录在智能体与主机软件触及不到的地方，DOCA Argus 则贡献独立观测到的运行时信号。

一个智能体可以改动自己环境内的一条日志，却无法对 BlueField-4 上保存的受保护记录做同样的改动。

证明（attestation）为遥测的来源与完整性提供可验证的证据。安全团队可以利用这些记录重建被观测到的交互、复盘强制执行决策，并支撑审计。

NVIDIA Sentry 可以把这些遥测提供给企业安全平台，例如 XDR 与 SIEM 平台以及安全数据湖，把智能体活动与更广泛的威胁情报、检测逻辑和事件响应工作流连接起来。

为企业安全能力扩展 NVIDIA Sentry

NVIDIA Sentry 让开发者与网络安全厂商能够通过 DOCA 库与微服务来扩展监控、治理与强制执行。

DOCA Tower 借助 Envoy 的可扩展性，使合作伙伴能够改造既有插件或开发新插件运行在 BlueField 上。这为把访问控制、内容检查、遥测与专用检测逻辑集成进应用层路径提供了熟悉的基础。

NVIDIA 计划发布核心插件以加速开发，其中包括一个把智能体通信暴露出来、供进一步分析可用推理轨迹的插件。

合作伙伴可以把这些能力与他们的身份服务、AI 分类器、威胁情报与安全运营平台结合。NVIDIA Sentry 贡献独立的运行时可见性与基础设施级强制执行，而对接的平台则补充企业上下文并协调调查与响应。

为 AI 智能体构建分层防护

规模化推进智能体 AI，需要在整个执行过程中持续可见并控制智能体能访问什么、能做什么。NVIDIA Sentry 把这种控制带入一个独立的基础设施域：把 DOCA Tower 的应用层检查，与 DOCA Argus 的运行时证据及可见性、以及 BlueField-4 上的硅中强制执行结合起来。

与 NVIDIA OpenShell 一道，NVIDIA Sentry 把防护从软件执行边界延伸到硬件隔离的保障。它让安全团队能够把智能体身份、权限、交互与运行时完整性放在一起评估，并在行为越过既定边界时采取行动。

开发者与安全团队可以从 NVIDIA DOCA 开始探索这些基础能力。现有的库与微服务——包括 DOCA Argus、DOCA Flow 与 OVS-DOCA——为在 NVIDIA Sentry 计划于明年初可用之前，试验带外可观测性与基础设施级强制执行提供了起点。