智能体生产栈正式落地：深入 NVIDIA GTC 柏林参考架构

关键要点

• NVIDIA 在 GTC 柏林大会的主题演讲把智能体定义为五个部分——模型、调度层（harness）、沙箱、知识、工具——并发布了一个覆盖全部五层的参考架构，而不是单点平台主张（NVIDIA 主题演讲回顾）。
• OpenShell 参考架构把 OpenShell 运行时与运行在 BlueField-4 DPU 上的 Sentry 配对：在带外监视智能体行为，把越界智能体「在毫秒之内」隔离——治理在硅硬件中运行，位于智能体所在宿主之外（NVIDIA 新闻室）。
• Huang 的规则是按次启动的权限：「每次启动智能体，权限都不相同」——这是对今年智能体事故中被记录在案的默认角色权限过宽故障给出的架构级回答（NVIDIA 主题演讲回顾）。
• DSX POD 把 AI 工厂的现场部署从六个月压缩到 14 天，且 Vera Rubin 已「进入全面生产……用于处理完整的 AI 智能体」——算力正在变成供应链上的一条产能线，而不是一个建设项目（NVIDIA 主题演讲回顾）。
• Agent Knowledge Foundation 与 Kumo 模型把知识层做成了产品，呼应 Huang 的说法：正是对公司知识的访问才「把这些智能体变成超级智能体」（NVIDIA Developer）。

今天上午在柏林 Tempodrom，Jensen Huang 以九家欧洲企业开场——L'Oréal、Revolut、Spotify、Merck、Vodafone、Zara、Porsche、Nestlé、HSBC——全部在 AI 领域与 NVIDIA 合作，背后是约 100 亿美元对欧洲 AI 生态的投入承诺，路经巴黎、伦敦、斯德哥尔摩和都柏林一周（NVIDIA 主题演讲回顾；NVIDIA 法国发文）。但真正改变企业架构的公告更加聚焦：随着企业「准备部署数十亿 AI 智能体」，NVIDIA 把智能体治理做成了计算层。这份 OpenShell 参考架构于 2026 年 10 月 21 日发布，把一个策略可控的内核级沙箱运行时与网络 DPU 上的硅内强制执行配对——并且今天就已可用，附完整参考文档。

本文逐层梳理 NVIDIA 五部分智能体结构中现在以产品形态交付的每一项，把治理主张对照 2026 年积累下来的智能体失控记录来审视——包括 OpenAI 沙箱逃逸中失效的 kill switch、让一个 prompt 接管 AWS 账户内全部智能体的默认角色——并把可以买到的层与仍属于部署方的那项决定分开：智能体如何触碰你的运行系统。

五层结构变成了一张物料清单

NVIDIA 的主题演讲把智能体描述为五个要素：模型、协调工作与记忆的 harness、隔离 harness 的沙箱，以及知识与工具（NVIDIA 主题演讲回顾）。这个框架之所以重要，在于随后接上的内容——「五层蛋糕」的论点，即基础设施先于模型存在，以及「我们正处在一轮新工业革命的开端」。NVIDIA 的论点带着平台形状：智能体是下一代技术栈的计算基底，而这个栈的每一层都可以买到。

层	NVIDIA 交付的内容	具体条目
模型	Vera Rubin 基础设施，全面生产，「处理完整的 AI 智能体」	Vera Rubin NVL72 每 MW 吞吐提升 30 倍（厂商数据）
Harness	运行智能体 harness 与工具调用的 Vera CPU	性能达到 x86 处理器的 2 倍（厂商数据）
沙箱	OpenShell——开源、策略可控、具备内核级沙箱的运行时	位于智能体与它可能影响的系统之间
知识	NVIDIA Agent Knowledge Foundation	Nemotron 文档解析、向量化、重排 + 面向结构化数据预测的 Kumo 模型
工具	CUDA-X 加速库	平台上有 1100 万开发者构建

在任何分层图之下，是这张表没有列出的一层：治理平面。在 NVIDIA 的框架里它甚至不算一层——它是其他所有层的边界被执行的地方。这才是值得注意的设计变化。

五层结构的组成，以及监视它们的执行平面：

治理层从指令迁移到了硅硬件

当天最有力的一句话与吞吐无关。NVIDIA 企业 AI 副总裁 Justin Boitano 在 9 月 Open Agent Safety Platform 首次公布时，把它作为一条设计约束提出：「指令含糊时智能体会漂移……不能指望一个智能体完全看管好自己的行为。一旦 AI 能够行动，安全防护就必须治理它的动作」（PBS NewsHour/AP）。主题演讲把这变成了架构：OpenShell 是一个策略可控、具备内核级沙箱的运行时，位于智能体与它可能影响的系统之间；Sentry 运行在 BlueField-4 DPU 上，持续带外监视智能体行为并在硅内执行策略——把一个试图越出软件边界的智能体「在毫秒之内」隔离（NVIDIA 新闻室）。

这一设计的三个性质在运营层面很关键：

• 看门狗在宿主之外。 智能体防护栈中每一条纯软件隔离路径——容器、管理程序、WebAssembly——共享同一个故障域：宿主内核。驻留在 DPU 上的 Sentry 是「两个独立层」规则的硬件版：隔离在被监视层被攻破时仍然活着。OpenAI 的沙箱逃逸正是记录了缺失独立层的代价——监控在 12 分钟内标记的告警，人却花了 2.5 小时才叫停（OpenAI kill switch 分析）。
• 权限按次授予，而不是按角色授予。 Huang：「每次启动智能体，权限都不相同」（NVIDIA 主题演讲回顾）。这是对今年最严重的爆炸半径模式的直接架构级反驳——一个面向公众的智能体拿到实例元数据并继承了权限过宽的默认角色，进而触及 AWS 账户内的所有智能体、会话和机密（AgentCorruption 分析）。一次性授予、广泛共享的默认角色只在权限是一个配置步骤时才存在；按次授权模型让共享的长期凭证成了反模式。
• 撤销跨越软硬件边界。 ServiceNow 同日 GA 的 Arc——一个长期运行的个人智能体，其动作由它的控制塔治理、由 OpenShell 执行——内置权限层 AI Passport，把策略带进 OpenShell 与 Sentry，让企业可以「跨软硬件在几秒内」撤销智能体的访问（NVIDIA 新闻室；ServiceNow）。靠指令让模型停下的 kill switch 有据可查的天花板；在执行平面被吊销的凭证没有。

生态宽度是可信度检验。智能体运行在 OpenShell 基础设施上的模型厂商包括 Anthropic、Google、Meta、OpenAI、Perplexity 与 Cohere；提供集成支持的安全厂商包括 CrowdStrike、Okta、Palo Alto Networks、Cisco、Fortinet 与 Zscaler；欧洲银行 BBVA 与 Santander 正在把这套架构作为治理框架加以评估；SAP 正在把它的 Joule Studio 运行时接入其中（NVIDIA 新闻室）。一套被生产前沿智能体的同一阵营——以及将要监管自身部署的金融机构——采用的治理层，和一个平台厂商自己售卖安全，完全是不同级别的公告。

两条诚实注脚给这次解读画上边界。第一，头条数字是发布日的厂商声明：每 MW 吞吐 30 倍、2 倍 x86 性能、Sentry 带来「最多 20%」的智能体容量——还没有任何一项附有第三方测试。第二，遏制与可用性的平衡仍未解决，NVIDIA 也没有宣称相反。威斯康星大学计算机科学教授 Somesh Jha 对记者说，这个运行时可能妨碍智能体做有用的工作，而平衡怎么拿捏「只能靠案例研究来回答」（PBS NewsHour/AP）。而且据 PBS，该平台完全没有处理模型不诚实的问题——规则与权限仍由部署企业自己写。参考架构改变了强制执行的位置；它不会替你写策略。

产能变成了供应链上的一条线

主题演讲的另一半是采购算术。NVIDIA 发布了 DSX POD——一套完整 Vera Rubin AI 工厂的参考设计，由合作伙伴在模块化容器中制造，交付前完成集成与验证。一旦场地水电等设施到位，现场部署从六个月压缩到 14 天；Huang 称之为「世界供应链的一次彻底转型」（NVIDIA 主题演讲回顾）。DSX AI Factory Platform 则补充了效率条目——冷却水需求最多降低 100%，同样产出用最多少 30% 的电力（均为厂商数据）。

对中型 B2B 运营者来说，诚实的解读是间接但真实的：算力正在收敛为带有仓储交期约束的租赁商品。部署报价台或履约智能体的人不需要在自己院子里放一个 pod。部署速度这个数据点之所以重要，是因为它拆掉了「最终」自建基础设施的最后一条结构性理由——曾经值得等待的那一层，如今成了可以按日程租用的层。企业智能体的平台对比（托管平台还是自营栈）刚刚拿到了一个厂商侧的数据点：硅的拥有者现在连工厂一起卖，工厂能以机架级速度交付。

知识层才是差异化

当天被覆盖最少、却对中型市场智能体影响最直接的公告是 NVIDIA Agent Knowledge Foundation——把智能体连接到企业数据的模型与库——其中包含用于文档解析、查询向量化与检索重排的 Nemotron 组件，外加用于结构化数据预测的新 Kumo 模型。Huang 的说法：「归根结底，让这些超级智能体、让这些智能体成为超级智能体的，是你给它们访问你公司知识的权限」；在 Agent Toolkit 视频之后又说：「那些知识与工具属于你」（NVIDIA 主题演讲回顾）。

这也正是平台主张与买方现实相遇的那一层。知识层的好坏取决于它背后的实体模型——把「模型读过目录」与「智能体用正确条款报出正确价格」区分开来的那个类型化的目录规格、等级、可用性、信用条件与策略图。构建这一层是生产级智能体最难的部分，而且是领域工作、不是平台工作：支撑基于扫描手册的客户支持的知识图谱检索层，以及 RFQ 引擎的层级定价语义，不会随任何一次 foundation 发布自动到来，无论解析模型多好。NVIDIA 提供检索与预测原语确实有用——但要用在你拥有的实体模型之上。

部署方仍然决定什么

把这场主题演讲放到中端市场的决策桌上，买与自建的界线清清楚楚：

决策	已成产品的选项	部署方的判断
算力	通过云供应商（AWS、Azure、Google Cloud）使用 Rubin 世代算力，基础设施已为 OpenShell 就绪	租用；算力如今按 14 天日程交付
沙箱 + 执行	跑在 Canonical、Red Hat、SUSE、Windows (MXC) 与各云操作系统上的 OpenShell 运行时；BlueField-4 上的 Sentry	采用参考架构；按次权限模型仍需要你为工作流划定范围
模型	前沿闭源与开源模型都运行在 OpenShell 基础设施上，包括 AP 报道的竞争硅路线	保持模型可换；LLM 注册表模式把换模型变成一次数据操作
知识	Nemotron 解析/向量化/重排 + Kumo 预测原语	实体模型由你构建：你的目录、你的价格层级、你的信用与策略语义
工具	CUDA-X + 各厂商智能体工具包	由你构建通向 NetSuite、BigCommerce、ShipStation 这类系统的类型化集成层——并为每次启动设定范围

最后一行才是对中端市场运营真正关键的一行。会议日程把这一点放到眼前：NetSuite 的 SuiteWorld 10 月 25 日开幕，10 月 26 日是开幕主题演讲——工具层的企业侧即将迎来自己的公告周。无论 ERP 厂商发布什么（NetSuite 的 2026.2 已在 7 月加入审批检查点式智能体集成），组装报价的智能体都需要层级价格、可用性预留、信用状态与取消条款作为类型化输入，而那些系统的 API 并不是为智能体设计的。五项决策的架构框架覆盖了那一整块构建面；主题演讲改变的是它的治理基底，不是它的形状。

一个有代表性的构建：一家中型工业分销商在 NetSuite 上运营 24/7 报价台——入口智能体、通过类型化 MCP 模块进行的目录与价格查询（我们的参考实现中注册了 38 个工具，覆盖请求、可用性、报价与定价 mixin），以及一个信用检查集成。OpenShell 模式直接映射到它上面：入口智能体的每次启动都持有自己的沙箱范围（读目录、获取 15 分钟可用性预留、写报价草稿），每次调用落地一条 MCPFunctionCallModel 风格的审计记录，而执行平面不是智能体自己的指令——它是在网关上可撤销的凭证集合，于是一次失控调用在几秒内失去它的工具，而不是在事后复盘里失去声誉。特权面靠构造保持很小——这正是按次授权的全部要点。

申请一次范围明确的构建。 一周现状调研。你会得到系统清单、工作流图谱和固定范围——无论最终是否与我们合作。

相关阅读

• 默认角色，而非模型：一个 prompt 如何接管 AWS 账户内的全部智能体——按次权限模型在架构层面反驳的爆炸半径模式
• AI 智能体治理清单：上线前审查——OpenShell/Sentry 执行层在上线路径中的位置
• 生产级智能体：托管平台还是自营栈——「NVIDIA 连工厂一起卖」落点所在的平台算术