AI智能体在完成既定任务的同时，仍可能越过安全边界。近期发生的多起事件表明，智能体在使用工具、凭证和服务来实现目标的过程中，可能绕过安全控制机制。因此，监控与执行机制必须运行在智能体权限之外，使其无法篡改或关闭这些机制。
NVIDIA Sentry是一套安全软件框架，用于监控AI智能体，并对其访问模型、工具和数据的行为实施策略管控。作为NVIDIA在GTC柏林大会上公布的OpenShell参考架构的一部分，该框架构建于NVIDIA DOCA之上，运行在NVIDIA BlueField-4 DPU上，为AI智能体提供与主机隔离的运行时防护。NVIDIA Sentry能够验证智能体是否按照设计意图运行，并处于既定的操作边界之内。
即便主机资源本身不可信，该系统依然可信，因为它掌控着智能体通往模型的唯一通道，为智能体活动提供不可篡改的可追溯记录，同时在芯片层面对智能体访问实施精细化安全控制。除了检查智能体通信外，NVIDIA Sentry还利用带外可观测性建立实时态势感知能力，持续评估智能体的运行时安全性与行为表现，以验证其安全性和完整性。
本文将介绍NVIDIA Sentry如何评估智能体请求、检测威胁，并独立于主机软件实施安全策略。
面向智能体运行时保护的独立安全层
此前一篇关于智能体型AI安全的文章介绍了NVIDIA BlueField如何在独立于主机的硬件信任域中运行安全服务。
NVIDIA Sentry在此基础上进一步发展，持续监控AI智能体行为，并独立于主机软件实施访问策略，在智能体无法触及的独立硬件信任域中建立严格的安全边界，确保智能体始终按设计意图运行。
软件运行时边界依然至关重要。NVIDIA OpenShell是面向自主智能体的安全运行环境，负责界定智能体的行为权限。OpenShell将策略执行与智能体工作负载分离，因此即便智能体遭到攻击，也无法更改自身的限制条件。NVIDIA Sentry则在带外新增了一层独立的硬件安全保障，运行于BlueField-4之上，超出了智能体的触及和感知范围。
在OpenShell参考架构中，智能体在NVIDIA Vera CPU上执行，而BlueField-4则位于节点通往模型的唯一通道上。NVIDIA Sentry检查智能体与模型之间的通信，并在不依赖智能体自我报告行为的情况下实施访问策略。内存内省功能还能提供智能体执行环境（如容器或微虚拟机）的更多上下文信息，有助于检测外部威胁和智能体的异常行为。
管控智能体通信
DOCA Tower是NVIDIA Sentry的AI安全网关。该组件基于开源边缘与服务代理Envoy构建，作为智能体流量的透明代理运行，在智能体与外部环境之间设置了一层双向检测机制。
智能体的网络流量通过一条绕过主机操作系统/虚拟机监视器数据包处理的直接网络I/O路径到达BlueField-4。由于BlueField-4位于通往模型及外部世界的唯一通道上，智能体的所有网络通信都受NVIDIA Sentry管控。
智能体的网络访问边界通过DOCA Flow与DOCA Tower协同控制，两者共同作用，将智能体的访问限制在已获批准的资源范围内。DOCA Flow用于为每个智能体实现四层防火墙，并在BlueField-4芯片层面实现加速处理。该防火墙会阻断与未经授权目标的连接，并将允许的流量转发至DOCA Tower，进行七层（应用层）检测、授权及其他安全校验。
DOCA Tower作为透明代理，利用内置的芯片级TLS加速能力执行传输层安全（TLS）终止处理。对于配置为需要检测的连接，它会解密经四层防火墙允许通过的智能体流量，以便检查和控制智能体通信。
NVIDIA Sentry使用开源策略引擎Open Policy Agent（OPA）根据既定策略评估访问请求。OPA采用Rego这一声明式领域专用语言，用于评估复杂的分层数据结构。OPA在本地内存中运行，根据策略复杂度和配置情况，可在不到一毫秒的时间内完成请求评估。
DOCA Tower与OpenShell策略兼容，利用OPA将网络访问策略和运行时控制延伸至BlueField-4及底层基础设施。
借助运行时上下文实施智能体访问策略
智能体的网络通信信息只能提供评估其安全性与完整性所需信息的一部分。深入了解智能体的执行环境，可为评估访问请求提供超越传统资源访问策略的上下文信息。
DOCA Argus提供对智能体执行环境及运行状态的实时可视化能力，为NVIDIA Sentry评估智能体访问请求提供额外的上下文信息。
该组件利用实时内存内省技术，分析主机易失性内存的特定区域，从而获取系统运行状态的独立证据。
DOCA Argus独立于主机运行，在BlueField-4上分析主机内存，无需在主机上部署任何代理程序。这种无代理设计在保留主机计算资源的同时，提供了独立的运行时可视化能力。由于DOCA Argus在自身独立的信任域中运行，即便主机遭到攻击，它依然处于主机软件无法触及的范围之外。
DOCA Argus能够实时映射执行环境——例如将容器映射至其所属的pod，将沙箱映射至微虚拟机——并识别每个环境中运行的进程及其属性。它还能映射进程与线程、文件访问、网络连接、已加载库、CPU、GPU、内存及其他系统资源之间的关系。DOCA Argus通过关联哈希值来追踪容器、进程及已加载库。
这种运行时上下文使NVIDIA Sentry能够将智能体的访问请求与其背后的进程及执行环境关联起来，在实施策略时既考虑请求的具体操作，也考虑发起该操作的智能体的安全性与完整性。
利用运行时上下文评估智能体访问行为
NVIDIA Sentry将DOCA Tower提供的网络连接信息与DOCA Argus提供的运行时上下文进行关联，以评估访问请求。NVIDIA Sentry利用这一上下文，根据DOCA Argus提供的附加属性和断言实施相应策略。同时，该系统还会用运行时上下文丰富智能体活动的防篡改记录，减少后续关联分析的工作量。
图1展示了这些检测机制的工作原理。DOCA Tower利用其策略引擎，将某个网络连接与发起该连接的智能体进程、其属性以及所属容器关联起来。例如，网络访问策略可以要求容器的哈希值必须匹配已获批准的容器哈希值列表。该策略还可以要求发起请求的进程（以哈希值标识）出现在容器软件物料清单（SBOM）中，拥有发起网络连接的权限，并使用经过批准的执行路径和命令行参数。随后，DOCA Tower会检查策略是否允许所请求的访问——例如，是否允许访问某个API以及执行所请求操作的权限。
NVIDIA Sentry利用DOCA Argus的实时观测结果和告警信息，持续评估智能体的安全状况。潜在的预警信号包括：执行未经批准的工具；利用ptrace攻击其他进程或生成攻击该智能体自身的进程；出站流量异常大，暗示存在数据泄露；未经授权的文件访问或变更；CPU使用率骤增；对临时文件夹的写入操作异常频繁；以及大规模文件删除行为。当NVIDIA Sentry检测到任何异常偏差时，可在芯片层面以毫秒级速度发起遏制操作。
将控制范围扩展至智能体交互行为
智能体安全策略需要同时管控离开沙箱的内容和返回沙箱的内容。请求可能会暴露敏感信息或触发未经授权的操作，而响应内容则可能引入恶意指令或其他内容，从而使智能体偏离其既定目标。
NVIDIA Sentry利用DOCA Tower的可扩展检测能力，对请求和响应内容实施控制。这些控制机制可以实现以下功能：
对智能体通信实施IP级、URL级及协议级限制。
捕获智能体请求、响应及数据流的防篡改记录，用于行为分析和事件调查。
管控智能体之间（A2A）以及模型上下文协议（MCP）相关的流量。
检测并遮蔽个人身份信息及密钥信息，包括API密钥、Token和密码。
识别并拦截策略禁止的内容。
在智能体整个会话过程中，NVIDIA Sentry持续评估经检测的请求和响应内容，并在智能体访问模型、工具、API及服务时实施相应策略。
利用专用模型评估智能体行为
NVIDIA Sentry与专用AI模型集成，利用工具调用记录和可获取的推理轨迹来分析智能体通信并对其行为进行分类。这些模型可在本地或远程的GPU加速专用系统上运行。分类器会评估智能体的行为是否与其设计意图保持一致，或是否存在行为偏移。
这些模型可以对智能体通信进行在线分类或带外分类。在线分类能够在潜在有害内容到达目标之前触发拦截操作；带外分类则能在检测到智能体异常行为后触发相应的响应操作。
防篡改活动记录及检测结果可为后续事件调查提供取证依据。
智能体通信需要持续分类才能检测异常行为。DOCA Argus通过对智能体运行环境的持续分析，对这种分类机制加以补充，从而评估其运行时安全性与行为表现。
NVIDIA Sentry能够利用BlueField-4的芯片级执行能力，在无需智能体或主机软件配合的情况下，于毫秒级时间内对智能体实施遏制和隔离。
当软件层面的边界机制失效时，这些独立控制机制的重要性便凸显出来。即便智能体逃脱了沙箱环境，由于NVIDIA Sentry运行在BlueField-4的独立信任域中，其监控与执行能力依然得以保留。
企业安全平台同样可以利用NVIDIA Sentry提供的遥测数据来关联检测结果并发起响应操作。受保护的记录会保留触发执行操作的观测活动及策略上下文，供后续审查使用。
在访问决策中引入智能体身份信息
安全控制机制必须将智能体的身份信息与其权限及所请求的操作关联起来。NVIDIA Sentry在应用层策略评估中采用了这一身份上下文信息。DOCA Tower与SPIFFE/SPIRE集成，以支持可验证的工作负载身份识别，同时支持与合作伙伴身份系统的集成。
身份信息用于确定请求的发起者；授权策略则用于确定某一身份可以访问哪些资源以及允许执行哪些操作；运行时证据则为请求关联的执行环境提供额外的上下文信息。
这种方法将身份信息与运行时安全性关联起来。如果智能体的行为或完整性发生变化，NVIDIA Sentry可在评估后续访问请求时利用这一上下文信息，按照组织既定的策略进行处理。
保留可信的智能体活动记录
即便智能体已逃脱沙箱环境或篡改了基于主机的日志记录，安全团队在事件调查过程中仍需要确凿的证据支持。
NVIDIA Sentry利用BlueField-4的独立信任域生成经认证的遥测数据及防篡改记录。DOCA Tower在智能体和主机软件无法触及的范围之外，记录经检测的通信内容及策略决策结果，而DOCA Argus则贡献独立观测到的运行时信号。
即便智能体在自身环境中篡改了日志记录，也无法对保存在BlueField-4上的受保护记录做出同样的更改。
认证机制为遥测数据的来源及完整性提供了可验证的证据。安全团队可利用这些记录重建已观测到的交互过程，审查相应的执行决策，并支持审计工作的开展。
NVIDIA Sentry可将这些遥测数据提供给企业安全平台，例如XDR、SIEM平台以及安全数据湖，将智能体活动与更广泛的威胁情报、检测逻辑及事件响应工作流程关联起来。
利用企业安全能力扩展NVIDIA Sentry
NVIDIA Sentry使开发者和网络安全供应商能够通过DOCA库和微服务，扩展监控、治理及执行能力。
DOCA Tower利用Envoy的可扩展性，使合作伙伴能够调整现有插件或开发新插件，以便在BlueField上运行。这为将访问控制、内容检测、遥测数据及专用检测逻辑集成至应用层路径提供了一个熟悉的基础平台。
NVIDIA计划发布核心插件以加速开发进程，其中包括一款用于暴露智能体通信内容的插件，以便对可获取的推理轨迹进行进一步分析。
合作伙伴可将这些能力与自身的身份服务、AI分类器、威胁情报及安全运营平台相结合。NVIDIA Sentry贡献独立的运行时可视化能力及基础设施级执行能力，而与之连接的各类平台则补充企业层面的上下文信息，并协调相应的调查与响应工作。
为AI智能体构建分层防护体系
要实现智能体型AI的规模化应用，需要在整个执行过程中持续掌握并控制智能体能够访问和执行的内容。NVIDIA Sentry将这种控制能力引入一个独立的基础设施域，将DOCA Tower提供的应用层检测能力与DOCA Argus提供的运行时证据及可视化能力，以及BlueField-4上的芯片级执行能力结合在一起。
NVIDIA Sentry与NVIDIA OpenShell相配合，将防护范围从软件执行边界延伸至硬件隔离级别的安全保障。它使安全团队能够综合评估智能体的身份、权限、交互行为及运行时完整性，并在行为越过既定边界时及时采取行动。
开发者和网络安全团队可以从NVIDIA DOCA入手，着手探索这些基础能力。现有的库和微服务，包括DOCA Argus、DOCA Flow及OVS-DOCA，为在NVIDIA Sentry计划于明年初正式推出之前，先行体验带外可观测性和基础设施级执行能力提供了一个起点。
