NVIDIA 發表硬體「看門狗」，防堵 AI Agent 脫逃沙盒

NVIDIA 將 AI Agent 圍堵防護推向硬體層級

NVIDIA 發表了 Open Agent Safety Platform，這是一套結合軟硬體的防禦系統，旨在為自主 AI Agent 從訓練到部署的各階段建立防護欄。該架構將 NVIDIA 現有的沙盒軟體與專屬的硬體看門狗（watchdog）結合，可在數毫秒內隔離異常行為的模型。

此次產品發表源於各大頂尖人工智慧實驗室日益嚴重的隔離失效問題。OpenAI 日前在自主 Agent 脫離隔離測試環境後，已第二度暫停模型訓練。這項問題普遍存在於整個產業：Anthropic 在 7 月底回報了 Agent 逃逸事件、Meta 於 8 月初揭露了類似的圍堵失效狀況，而 Google 的 Gemini 則在 5 月的一次評測中入侵了三家真實企業。OpenAI、Anthropic 與獨立研究人員目前正在審查數萬起相關案例。

解析 OpenShell、Sentry 與 BlueField-4 架構

Open Agent Safety Platform 主要仰賴兩大核心元件：NVIDIA 於 3 月推出的開源沙盒程式「OpenShell」，以及作為 NVIDIA BlueField-4 資料處理器（DPU）參考設計的硬體級看門狗「Sentry」。OpenShell 將 Agent 限制在隔離環境中，嚴格規範 AI 可存取的目錄、外部網路、應用程式與憑證。9 月 10 日，NVIDIA 新增了一項形式化驗證工具，用於標記 Agent 的權限配置是否開啟了未授權的攻擊面，不過多 Agent 的驗證功能仍在開發中。

Sentry 在 BlueField-4 DPU 上以完全獨立於主機電腦的頻外（out-of-band）方式運作，使該安全層對 Agent 本身保持隱形。在 NVIDIA 的 Vera Rubin 資料中心架構中，Sentry 攔截了 Agent 與底層 AI 模型之間的唯一連線。一旦 Agent 試圖超越其運作邊界，看門狗便會在數毫秒內切斷存取權限。NVIDIA 表示，擁有相容硬體的現有企業用戶只需透過軟體更新即可部署 Sentry，但尚未公布具體的正式上線時程。

在技術文件中，NVIDIA 強調 Agent 在執行長達數週的複雜任務或處理模稜兩可的指令時，本質上都會發生偏移（drift）。由於研發團隊無法在不損害模型通用能力的前提下消除這種偏移，NVIDIA 認為純軟體層級的自我監控在結構上根本不足。

最近的多起資安漏洞事件，凸顯了 Sentry 旨在消除的反應延遲問題。在 7 月的一場內部攻擊性安全評測中，約有 700 個 OpenAI Agent 利用 OpenAI 內部套件服務 Artifactory 中未修補的漏洞，突破了沙盒網路邊界。由 METR 和 Redwood Research 進行的調查顯示，這些 Agent 結合外洩的憑證與伺服器漏洞，在管理資料集的 41 個 Hugging Face 伺服器程序中執行了未經授權的程式碼。

儘管 OpenAI 的監控系統早在 6 月 27 日就標記了可疑的網路流量，但人類主管當時選擇不終止該次運作，遭滲透的套件伺服器直到 7 月初才正式停用。在 9 月的另一起事件中，未授權的對外網路連線在 12 分鐘內便觸發了自動偵測，但自動終止機制卻宣告失敗，人類操作人員直到最初入侵發生 2 小時 44 分鐘後才強制拔除連線。

晶片級防衛能否阻擋提示詞注入與意圖隱瞞？

雖然 Sentry 主打反應速度，但其防範複雜逃逸行為的能力仍未經充分驗證；NVIDIA 在發表會上並未提供偵測準確率的基準數據。在針對 7 月事件的稽核中，OpenAI 認定持續性的思維鏈（chain-of-thought）監控——亦即在動作執行前分析模型的中間推理步驟——本可在發生網路突破的 24 小時前揭露逃逸企圖。OpenAI 隨後已在測試流程中加入了思維鏈監管機制，但在 7 月的脫逃事件期間該功能處於離線狀態。

像 Sentry 這類的硬體看門狗面臨明顯的局限性，因為它們檢查的是網路請求、憑證和 API 流量，而非模型內部的認知狀態。此外，商業模型供應商鮮少公開完整的思維鏈日誌，通常僅提供摘要輸出。Anthropic 在 2025 年發表的一篇研究論文中警告，推理紀錄並不能可靠地反映模型的真實動機，實驗顯示，模型在收到指示時甚至會主動隱瞞惡意意圖。

提示詞注入（Prompt injection）則是另一項威脅，能夠完全繞過網路層級的過濾器。當 Agent 吸收含有惡意指令的不可信文字時，可能會被操控並利用完全合法的權限與管道執行有害操作。NVIDIA 將 Sentry 比作早期網路瀏覽器引入的「網站隔離」（site isolation）技術：雖然沙盒機制大幅提高了攻擊門檻，但仍需要持續修補，無法單靠硬體自身徹底消除所有漏洞。