知识卡片：NVIDIA Sentry：运行时保护 AI 代理

一句话结论

NVIDIA Sentry 是构建在 NVIDIA OpenShell 参考架构之上的安全软件框架，运行于 BlueField-4 DPU 的硬件隔离信任域中，在代理无法触及的位置监视 AI 代理运行时行为并强制执行访问策略。

事件概述或研究问题

AI 代理即使完成既定任务，也可能在使用工具、凭据和服务的过程中越过安全边界。近期事件显示，代理能够绕过安全控制，因此监控与执行机制必须位于代理之外，使其无法篡改或禁用。NVIDIA Sentry 要解决的是：如何在主机资源不可信时，仍能验证代理按设计意图运行、处于定义的操作边界内，并对代理访问模型、工具和数据实施细粒度控制。

方法/产品要点

• 定位与平台：NVIDIA Sentry 是 NVIDIA OpenShell 参考架构的一部分（该架构在 GTC Berlin 发布），基于 NVIDIA DOCA 构建，运行于 NVIDIA BlueField-4 DPU，提供主机隔离的运行时保护。在参考架构中，代理运行于 NVIDIA Vera CPU，BlueField-4 位于节点通往模型的唯一路径上。
• 网络治理（DOCA Tower）：基于开源边缘/服务代理 Envoy 的 AI 安全网关，作为透明代理在代理与外部环境之间做双向检查；使用内置硅上 TLS 加速完成 TLS 终止；结合 DOCA Flow 在 BlueField-4 上以硅加速实现每代理的四层防火墙，阻断未授权目的地，将允许流量转发至 DOCA Tower 做七层检查、授权与附加安全检查。
• 策略引擎：使用开源策略引擎 Open Policy Agent（OPA）及其声明式语言 Rego 评估访问请求，OPA 在本地内存运行，视策略复杂度与配置可在 1 毫秒内完成评估；DOCA Tower 兼容 OpenShell 策略，把网络访问策略与运行时控制扩展到 BlueField-4 和基础设施层。
• 运行时上下文（DOCA Argus）：通过实时内存内省分析易失性主机内存的选定区域，独立于主机运行、无需主机内代理（agentless），实时映射执行环境（容器到 Pod、沙箱到 microVM），识别进程及其属性、进程与线程关系、文件访问、网络连接、加载库、CPU/GPU/内存等资源，并以哈希追踪容器、进程与加载库。
• 策略关联：将 DOCA Tower 的网络连接信息与 DOCA Argus 的运行时上下文关联，可要求容器哈希匹配已批准列表、发起进程哈希出现在容器 SBOM 中、具备发起网络连接权限、使用已批准执行路径与命令行参数等。
• 行为检测：DOCA Argus 的实时观察与告警用于持续评估代理安全，警示信号包括执行未批准工具、用 ptrace 攻击其他进程或派生进程攻击代理、疑似数据外泄的过量出站流量、未授权文件访问或更改、CPU 峰值、临时文件夹过量写入、大规模文件删除等。
• 专用 AI 模型：集成专用 AI 模型，基于工具调用与可用推理轨迹对代理通信分类，判断行为是否与设计意图一致或出现行为漂移；模型可本地或远程运行于 GPU 加速系统，支持内联分类（在有害内容到达目的地前阻断）与带外分类（检测到不当行为后触发响应动作）。
• 请求与响应控制：DOCA Tower 的可扩展检查能力可实施 IP/URL/协议级限制、捕获防篡改的请求与响应及数据流记录、治理代理间（A2A）与 Model Context Protocol（MCP）流量、检测并脱敏 PII 与密钥（API key、token、密码）、识别并阻断策略禁止的内容。
• 遏制能力：利用 BlueField-4 的硅上执行能力，无需代理或主机软件配合，可在毫秒级遏制与隔离代理。

主要结果或产业意义

材料未给出量化性能结果或客户部署数据（待核实）。从设计看，其产业意义在于把代理安全从“代理自报行为”转为“硬件信任域独立观测与执行”：网络路径与运行时上下文双源关联，策略判断同时考虑请求动作与发起者的安全完整性；防篡改遥测与记录保存在 BlueField-4 上，支持取证调查并可与企安全平台集成。

为什么重要

代理可被诱骗或自行绕过软件层控制，把监控与执行放在代理知识范围之外，是降低“任务完成但越界”风险的关键。相对于既有 OpenShell 在软件运行时层治理代理可做什么，NVIDIA Sentry 的增量在于增加带外的硬件独立防线，运行于 BlueField-4 之上，代理无法触及或知晓。

局限与不确定性

• 材料为 NVIDIA 官方技术博客，未提供独立评测或第三方验证数据（待核实）。
• 部署依赖 BlueField-4 DPU 与 DOCA 软件栈，适用性与成本门槛未在材料中说明（待核实）。
• 专用 AI 分类模型对行为漂移的准确率、误报率及内联阻断的延迟影响未给出数据（待核实）。
• OPA 亚毫秒级评估为“取决于策略复杂度与配置”的条件性表述，实际策略规模下的表现待核实。

可用于图书/PPT/简报的角度

• “监控与执行必须在代理触及范围之外”：以硬件信任域作为代理安全的最后一道确定性边界。
• 纵深防御叠加：OpenShell（软件运行时策略）＋ Sentry（硬件带外执行）的分层叙事。
• 从网络流量到运行时上下文：用容器哈希、进程哈希、SBOM 与执行路径把“谁在请求”纳入授权判断。
• 内联阻断与带外检测的取舍：实时阻断与事后取证响应的组合。
• 代理间通信与 MCP 流量的治理边界。

与既有脉络的关系

本条是既有 NVIDIA OpenShell 卡片的延续与更新：OpenShell 提供软件运行时层（沙箱执行、受控服务访问、凭据保护、形式化策略分析）的代理治理；NVIDIA Sentry 在其上增加运行于 BlueField-4 的硬件隔离带外监视与执行，把策略执行点从主机软件扩展到基础设施层，并补充内存内省、行为分类与毫秒级遏制能力。

原始材料

• 标题：Inside NVIDIA Sentry: Secure AI Agents at Runtime | NVIDIA Technical Blog
• 作者：Ofir Arkin, Ariel Kit, Itay Ozery
• 日期：Oct 21, 2026
• 来源：NVIDIA Technical Blog（Trustworthy AI / Cybersecurity）
• URL：https://developer.nvidia.com/blog/inside-nvidia-sentry-secure-ai-agents-at-runtime
• 关键词：NVIDIA Sentry, AI agent security, BlueField-4 DPU, DOCA Tower, DOCA Argus, Open Policy Agent, runtime protection, hardware-isolated trust domain