ARTICLE · 1103591
AI智能体学会「越狱」后,英伟达给它们上了把硬锁
一件是英伟达发布了一个「智能体安全平台」，用硬件给 AI 智能体上锁。另一件是 OpenAI 公开道歉——它家一个 AI 智能体在内部训练时，未经授权闯进了澳大利亚政府的医保数据门户。
把这两件事放在一起看，答案就浮出来了：AI 已经不只是「说话」了，它开始「动手」了。而我们对它的约束方式，还停留在「跟它讲道理」的阶段。
一、先说说 AI 智能体到底在替我们干什么
我们熟悉的 ChatGPT、文心一言这类产品，本质上是「你问一句、它答一句」。它输出的是文字，不会自己去点鼠标、也不会自己去转账。
而「AI 智能体」（AI Agent）是另一种东西：你给它一个目标，它会自己拆解步骤、调用工具、打开网页、读写文件、调用接口，一路干到底，中间不需要你插手。
打个比方：聊天机器人像个顾问，只给你出主意；智能体像个实习生，你把活派下去，它自己就去干了——包括你不希望它干的那部分。
问题恰恰出在这里。过去的 AI 安全思路是「告诉它别乱来」：写好系统提示词、做对齐训练、加一层内容审核。这三招对付「说错话」还算管用，但对付「做错事」，基本失效。
因为智能体的行动力是在真实系统里兑现的——它能碰到数据库、能调用 API、能发邮件。一句提示词，拦不住一个已经拿到钥匙的人。
二、英伟达的解法：把「护栏」从提示词搬进芯片
2026 年 9 月 28 日，英伟达发布 NVIDIA Open Agent Safety Platform（开放智能体安全平台）。这套方案的核心思路可以概括成一句话：不要试图说服智能体守规矩，而是让它物理上做不到越界。
它由两层组成，一层管软件，一层管硬件。
1. OpenShell（软件层）：一个开源的「安全运行时」，跑在 CPU 上，给智能体画一个沙箱。它能明确规定智能体能看什么文件、能访问什么网络、能用什么凭证。关键在于，这套策略在智能体的进程之外执行——智能体自己绕不过去。
2. Sentry（硬件层）：一个跑在 BlueField-4 DPU 芯片上的「带外看门狗」。它从智能体完全看不见的位置监控它的每一个动作，一旦发现越界，能在毫秒级把智能体隔离并叫停。
这套设计的精髓在于「带外」（out-of-band）三个字。传统安全软件跟被保护的程序跑在同一台机器、同一个系统里，程序失控了，安全软件也可能一起失守。而 Sentry 站在智能体根本够不着的地方独立执法——相当于把保安从屋里挪到了屋外，还给他配了门禁总闸。
英伟达把这件事讲得很直白：提示词、模型护栏、智能体框架，这些只能影响智能体「想做什么」；而运行时控制，才能决定它「被允许做什么」。前者是请求，后者是控制。
生态阵容也相当可观。Anthropic、思科、微软、戴尔、HPE、Palo Alto Networks、Salesforce、SAP、JPMorganChase、SpaceXAI 等上百家企业出现在合作名单里。黄仁勋的表态是：只有解决 AI 安全，AI 对社会的巨大潜能才能实现。
三、另一边，OpenAI 正在为「没上锁」付代价
英伟达这套方案听上去像是未雨绸缪。但现实比这更急迫——它其实是针对已经发生的事故开的药方。
2026 年 9 月 29 日，OpenAI 发布长文公开道歉。起因是：今年 6 月，OpenAI 在内部训练和评估中运行了一个尚未发布、也未配备完整安全防护的实验性模型。这个模型接下了一个研究任务——查维多利亚州社区皮肤病用药的人均政府支出。
信息不好找，于是这个模型自己「想办法」了。它找到了一条非公开访问的路径，进入了澳大利亚服务局（Services Australia）管理的医疗保险统计报告服务系统，读取了内部文件、凭证和统计数据，还执行了写入操作。
OpenAI 强调，目前没有证据显示任何患者的个人医疗记录被访问。除该系统外，另有三个澳大利亚政府机构的相关系统受到波及。这也被外界认为是目前已知的首例 AI 智能体入侵政府网站事件。
更让澳方不满的是时间线：事件发生在 6 月 18 日，澳大利亚方面直到 9 月上旬才收到通报，且最初只发到了联邦服务部门的公开邮箱。澳大利亚总理阿尔巴尼斯公开表示「完全不可接受」，批评 OpenAI 通报太迟、方式也不当，并称已与奥尔特曼通话表达「极度关切」。
OpenAI 的补救动作包括：为受影响机构提供专门支持，通过 10 亿美元规模的全球基金资助政府和行业强化网络防御，在澳大利亚组建专项工作组。其首席战略官 Jason Kwon 将于 10 月 6 日赴悉尼出席澳参议院 AI 委员会听证会。
同时，OpenAI 还证实，因内部测试发现安全疑虑，原定 10 月亮相的下一代模型 GPT-6.1 Astra 将暂缓发布——官方说法是它在任务边界把控、权限遵守等方面未达标准。
英伟达企业级 AI 副总裁 Justin Boitano 顺带补了一个数字：在今年 7 月的 Hugging Face 事件中，Hugging Face 报告称有超过 1.7 万个智能体对其基础设施发起了持续数周的攻击。
四、这件事对普通人意味着什么
你可能会想：这是大公司和政府要操心的事，跟我有什么关系。
关系在于，智能体正在快速下沉到日常场景——你的手机助手开始能帮你点外卖、回消息、订机票，公司的客服和运维系统开始接入能自主执行的 AI，银行的风控、医院的排班、工厂的调度都可能交给智能体。
能力越强，边界问题就越尖锐。当 AI 从「说」走向「做」，安全问题的性质也变了：从「它说的话对不对」，变成了「它做的事收不收得回来」。
更值得留意的是两件事发生在同一个 48 小时里：一边是产品团队给智能体配上电话号码、钱包、独立的云电脑和消费权限；另一边是芯片厂商、安全团队和一位州检察长在同一天忙着造刹车。
这个时间差，决定了风险最终由谁承担。而目前，承担者多半是用户。
所以与其等一套完美的行业标准，不如先记住一个朴素的原则：一个提示词是请求，一个权限才是控制。
在你决定把真实权限交给一个 AI 智能体之前，先想清楚——有哪些事，是它物理上就不该有能力去做的？