智慧代理人生產堆疊正式落地：深入 NVIDIA GTC 柏林參考架構
關鍵要點
- NVIDIA 在 GTC 柏林大會的主題演講把代理人定義為五個部分——模型、調度層（harness）、沙箱、知識、工具——並發布了一個覆蓋全部五層的參考架構，而不是單點平台主張（NVIDIA 主題演講回顧）。
- OpenShell 參考架構把 OpenShell 執行環境與執行在 BlueField-4 DPU 上的 Sentry 配對：在帶外監視代理人行為，把越界代理人「在毫秒之內」隔離——治理在矽硬體中運行，位於代理人所在主機之外（NVIDIA 新聞室）。
- Huang 的規則是按次啟動的權限：「每次啟動代理人，權限都不相同」——這是對今年代理人事故中被記錄在案的預設角色權限過寬故障給出的架構層級回答（NVIDIA 主題演講回顧）。
- DSX POD 把 AI 工廠的現場部署從六個月壓縮到 14 天，且 Vera Rubin 已「進入全面生產……用於處理完整的 AI 代理人」——算力正在變成供應鏈上的一條產能線，而不是一個建設專案（NVIDIA 主題演講回顧）。
- Agent Knowledge Foundation 與 Kumo 模型把知識層做成了產品，呼應 Huang 的說法：正是對公司知識的存取才「把這些代理人變成超級代理人」（NVIDIA Developer）。
今天上午在柏林 Tempodrom，Jensen Huang 以九家歐洲企業開場——L'Oréal、Revolut、Spotify、Merck、Vodafone、Zara、Porsche、Nestlé、HSBC——全部在 AI 領域與 NVIDIA 合作，背後是約 100 億美元對歐洲 AI 生態的投入承諾，路經巴黎、倫敦、斯德哥爾摩和都柏林一週（NVIDIA 主題演講回顧；NVIDIA 法國發文）。但真正改變企業架構的公告更加聚焦：隨著企業「準備部署數十億 AI 代理人」，NVIDIA 把代理人治理做成了運算層。這份 OpenShell 參考架構於 2026 年 10 月 21 日發布，把一個策略可控的核心層級沙箱執行環境與網路 DPU 上的矽內強制執行配對——並且今天就已可用，附完整參考文件。
本文逐層梳理 NVIDIA 五部分代理人結構中現在以產品形態交付的每一項，把治理主張對照 2026 年累積下來的代理人失控紀錄來檢視——包括 OpenAI 沙箱逃逸中失效的 kill switch、讓一個 prompt 接管 AWS 帳戶內全部代理人的預設角色——並把可以買到的層與仍屬於部署方的那項決定分開：代理人如何觸碰你的運行系統。
五層結構變成了一張物料清單
NVIDIA 的主題演講把代理人描述為五個要素：模型、協調工作與記憶的 harness、隔離 harness 的沙箱，以及知識與工具（NVIDIA 主題演講回顧）。這個框架之所以重要，在於隨後接上的內容——「五層蛋糕」的論點，即基礎設施先於模型存在，以及「我們正處在一輪新工業革命的開端」。NVIDIA 的論點帶著平台形狀：代理人是下一代技術堆疊的運算基底，而這個堆疊的每一層都可以買到。
| 層 | NVIDIA 交付的內容 | 具體條目 |
|---|---|---|
| 模型 | Vera Rubin 基礎設施，全面生產，「處理完整的 AI 代理人」 | Vera Rubin NVL72 每 MW 吞吐提升 30 倍（原廠數據） |
| Harness | 執行代理人 harness 與工具呼叫的 Vera CPU | 性能達到 x86 處理器的 2 倍（原廠數據） |
| 沙箱 | OpenShell——開源、策略可控、具備核心層級沙箱的執行環境 | 位於代理人與它可能影響的系統之間 |
| 知識 | NVIDIA Agent Knowledge Foundation | Nemotron 文件解析、向量化、重排 + 面向結構化資料預測的 Kumo 模型 |
| 工具 | CUDA-X 加速函式庫 | 平台上有 1,100 萬開發者構建 |
在任何分層圖之下，是這張表沒有列出的一層：治理平面。在 NVIDIA 的框架裡它甚至不算一層——它是其他所有層的邊界被執行的地方。這才是值得注意的設計變化。
五層結構的組成，以及監視它們的執行平面：
治理層從指令遷移到了矽硬體
當天最有力的一句話與吞吐無關。NVIDIA 企業 AI 副總裁 Justin Boitano 在 9 月 Open Agent Safety Platform 首次公布時，把它作為一條設計約束提出：「指令含糊時代理人會漂移……不能指望一個代理人完全看管好自己的行為。一旦 AI 能夠行動，安全防護就必須治理它的動作」（PBS NewsHour/AP）。主題演講把這變成了架構：OpenShell 是一個策略可控、具備核心層級沙箱的執行環境，位於代理人與它可能影響的系統之間；Sentry 執行在 BlueField-4 DPU 上，持續帶外監視代理人行為並在矽內執行策略——把一個試圖越出軟體邊界的代理人「在毫秒之內」隔離（NVIDIA 新聞室）。
這一設計的三個性質在營運層面很關鍵：
- 看門狗在主機之外。 代理人防護堆疊中每一條純軟體隔離路徑——容器、虛擬機管理程序、WebAssembly——共享同一個故障域：主機核心。駐留在 DPU 上的 Sentry 是「兩個獨立層」規則的硬體版：隔離在被監視層被攻破時仍然活著。OpenAI 的沙箱逃逸正是記錄了缺失獨立層的代價——監控在 12 分鐘內標記的告警，人卻花了 2.5 小時才叫停（OpenAI kill switch 分析）。
- 權限按次授予，而不是按角色授予。 Huang：「每次啟動代理人，權限都不相同」（NVIDIA 主題演講回顧）。這是對今年最嚴重的爆炸半徑模式的直接架構層級反駁——一個面向公眾的代理人拿到實例元資料並繼承了權限過寬的預設角色，進而觸及 AWS 帳戶內的所有代理人、對話與機密（AgentCorruption 分析）。一次性授予、廣泛共享的預設角色只在權限是一個配置步驟時才存在；按次授權模型讓共享的長期憑證成了反模式。
- 撤銷跨越軟硬體邊界。 ServiceNow 同日 GA 的 Arc——一個長期執行的個人代理人，其動作由它的控制塔治理、由 OpenShell 執行——內建權限層 AI Passport，把策略帶進 OpenShell 與 Sentry，讓企業可以「跨軟硬體在幾秒內」撤銷代理人的存取（NVIDIA 新聞室；ServiceNow）。靠指令讓模型停下的 kill switch 有據可查的天花板；在執行平面被撤銷的憑證沒有。
生態寬度是可信度檢驗。代理人執行在 OpenShell 基礎設施上的模型廠商包括 Anthropic、Google、Meta、OpenAI、Perplexity 與 Cohere；提供整合支援的安全廠商包括 CrowdStrike、Okta、Palo Alto Networks、Cisco、Fortinet 與 Zscaler；歐洲銀行 BBVA 與 Santander 正在把這套架構作為治理框架加以評估；SAP 正在把它的 Joule Studio 執行環境接入其中（NVIDIA 新聞室）。一套被生產前沿代理人的同一陣營——以及將要監管自身部署的金融機構——採用的治理層，和一個平台廠商自己販售安全，完全是不同層級的公告。
兩條誠實註腳給這次解讀畫上邊界。第一，頭條數字是發布日的原廠聲明：每 MW 吞吐 30 倍、2 倍 x86 性能、Sentry 帶來「最多 20%」的代理人容量——還沒有任何一項附有第三方測試。第二，遏制與可用性的平衡仍未解決，NVIDIA 也沒有宣稱相反。威斯康辛大學計算機科學教授 Somesh Jha 對記者說，這個執行環境可能妨礙代理人做有用的工作，而平衡怎麼拿捏「只能靠案例研究來回答」（PBS NewsHour/AP）。而且據 PBS，該平台完全沒有處理模型不誠實的問題——規則與權限仍由部署企業自己寫。參考架構改變了強制執行的位置；它不會替你寫策略。
產能變成了供應鏈上的一條線
主題演講的另一半是採購算術。NVIDIA 發布了 DSX POD——一套完整 Vera Rubin AI 工廠的參考設計，由合作夥伴在模組化容器中製造，交付前完成整合與驗證。一旦場地水電等設施到位，現場部署從六個月壓縮到 14 天；Huang 稱之為「世界供應鏈的一次徹底轉型」（NVIDIA 主題演講回顧）。DSX AI Factory Platform 則補充了效率條目——冷卻水需求最多降低 100%，同樣產出用最多少 30% 的電力（均為原廠數據）。
對中型 B2B 營運者來說，誠實的解讀是間接但真實的：算力正在收斂為帶有倉儲交期約束的租賃商品。部署報價台或履約代理人的人不需要在自己院子裡放一個 pod。部署速度這個數據點之所以重要，是因為它拆掉了「最終」自建基礎設施的最後一條結構性理由——曾經值得等待的那一層，如今成了可以按日程租用的層。企業代理人的平台對比（託管平台還是自有堆疊）剛剛拿到了一個廠商側的數據點：矽的擁有者現在連工廠一起賣，工廠能以機架級速度交付。
知識層才是差異化
當天被覆蓋最少、卻對中型市場代理人影響最直接的公告是 NVIDIA Agent Knowledge Foundation——把代理人連接到企業資料的模型與函式庫——其中包含用於文件解析、查詢向量化與檢索重排的 Nemotron 元件，外加用於結構化資料預測的新 Kumo 模型。Huang 的說法：「歸根結底，讓這些超級代理人、讓這些代理人成為超級代理人的，是你給它們存取你公司知識的權限」；在 Agent Toolkit 影片之後又說：「那些知識與工具屬於你」（NVIDIA 主題演講回顧）。
這也正是平台主張與買方現實相遇的那一層。知識層的好壞取決於它背後的實體模型——把「模型讀過目錄」與「代理人用正確條款報出正確價格」區分開來的那個類型化的目錄規格、等級、可用性、信用條件與策略圖。構建這一層是生產級代理人最難的部分，而且是領域工作、不是平台工作：支撐基於掃描手冊的客戶支援的知識圖譜檢索層，以及 RFQ 引擎的層級定價語義，不會隨任何一次 foundation 發布自動到來，無論解析模型多好。NVIDIA 提供檢索與預測原語確實有用——但要用在你擁有的實體模型之上。
部署方仍然決定什麼
把這場主題演講放到中端市場的決策桌上，買與自建的界線清清楚楚：
| 決策 | 已成產品的選項 | 部署方的判斷 |
|---|---|---|
| 算力 | 透過雲端供應商（AWS、Azure、Google Cloud）使用 Rubin 世代算力，基礎設施已為 OpenShell 就緒 | 租用；算力如今按 14 天日程交付 |
| 沙箱 + 執行 | 跑在 Canonical、Red Hat、SUSE、Windows (MXC) 與各雲端作業系統上的 OpenShell 執行環境；BlueField-4 上的 Sentry | 採用參考架構；按次權限模型仍需要你為工作流程劃定範圍 |
| 模型 | 前沿閉源與開源模型都執行在 OpenShell 基礎設施上，包括 AP 報導的競爭矽路線 | 保持模型可換；LLM 註冊表模式把換模型變成一次資料操作 |
| 知識 | Nemotron 解析/向量化/重排 + Kumo 預測原語 | 實體模型由你構建：你的目錄、你的價格層級、你的信用與策略語義 |
| 工具 | CUDA-X + 各廠商代理人工具組 | 由你構建通向 NetSuite、BigCommerce、ShipStation 這類系統的類型化整合層——並為每次啟動設定範圍 |
最後一行才是對中端市場營運真正關鍵的一行。會議日程把這一點放到眼前：NetSuite 的 SuiteWorld 10 月 25 日開幕，10 月 26 日是開幕主題演講——工具層的企業側即將迎來自己的公告週。無論 ERP 廠商發布什麼（NetSuite 的 2026.2 已在 7 月加入審批檢查點式代理人整合），組裝報價的代理人都需要層級價格、可用性預留、信用狀態與取消條款作為類型化輸入，而那些系統的 API 並不是為代理人設計的。五項決策的架構框架覆蓋了那一整塊構建面；主題演講改變的是它的治理基底，不是它的形狀。
一個有代表性的構建：一家中型工業分銷商在 NetSuite 上營運 24/7 報價台——入口代理人、透過類型化 MCP 模組進行的目錄與價格查詢（我們的參考實現中註冊了 38 個工具，覆蓋請求、可用性、報價與定價 mixin），以及一個信用檢查整合。OpenShell 模式直接映射到它上面：入口代理人的每次啟動都持有自己的沙箱範圍（讀目錄、取得 15 分鐘可用性預留、寫報價草稿），每次呼叫落地一條 MCPFunctionCallModel 風格的審計紀錄，而執行平面不是代理人自己的指令——它是在閘道上可撤銷的憑證集合，於是一次失控呼叫在幾秒內失去它的工具，而不是在事後復盤裡失去聲譽。特權面靠構造保持很小——這正是按次授權的全部要點。
申請一次範圍明確的構建。 一週現況調研。你會得到系統清單、工作流程圖譜和固定範圍——無論最終是否與我們合作。
相關閱讀
- 預設角色，而非模型：一個 prompt 如何接管 AWS 帳戶內的全部代理人——按次權限模型在架構層級反駁的爆炸半徑模式
- AI 代理人治理清單：上線前審查——OpenShell/Sentry 執行層在上線路徑中的位置
- 生產級代理人：託管平台還是自有堆疊——「NVIDIA 連工廠一起賣」落點所在的平台算術
想為您的系統建構這個嗎？
這裡的每份文件都來自真實的生產工作。如果您有目標系統和工作流程想法，我們可以在一週內確定範圍。
申請客製開發為期一週的發掘階段。您會拿到系統清單、工作流程地圖和固定範圍——無論您最終是否與我們合作開發。