OpenAI 并不是唯一一家遇到这种情况的实验室。Anthropic 承认在类似事件7 月底也发生过，Meta 则在 8 月初跟进。最近还曝出Google 的 Gemini在 5 月的一次测试中入侵了三家真实公司。OpenAI、Anthropic 以及外部研究人员现在正在审查数万起其他案例。据 OpenAI 称，其中许多只是常规的研究活动。
Nvidia 的技术并不完全是新的。该平台将OpenShell——Nvidia 于 3 月推出的开源软件——与一个名为 Sentry 的新硬件看门狗结合在一起。OpenShell 将每个智能体锁在一种被称为沙箱的数字牢笼中。操作员决定智能体可以访问哪些文件、程序、网络和凭证。
Nvidia 还提供了一个形式化验证工具，于 9 月 10 日推出。该工具旨在检测这些权限是否超出设定限制，或是否打开了高风险访问的大门。Nvidia表示它仍在研究针对多个智能体协同工作的检查。
Sentry 是 Nvidia BlueField-4 数据处理单元的一款参考设计。该看门狗独立于主计算机运行，Nvidia 称这使其对智能体不可见。在 Nvidia 的 Vera Rubin 数据中心系统中，它位于智能体与 AI 模型之间唯一的连接上。如果智能体试图突破，Sentry 应在毫秒内将其隔离。据 Nvidia 称，已经运行兼容系统的客户只需进行一次软件更新。该公告没有给出正式可用性的单独日期。
在一篇技术博客文章中，Nvidia 解释了其理由。当指令不明确或任务持续数周时，智能体可能会偏离其任务。Nvidia 表示，这无法在不限制其能力的情况下通过训练消除，因此智能体无法完全自我监控。
OpenAI 最大的失误是拔插头拔得太晚
最近的案例显示了这样的看门狗可以在哪里派上用场。7 月，OpenAI 的智能体在一次黑客测试. 他们利用了 Artifactory（OpenAI 的内部软件包服务）中此前未知的漏洞。根据 OpenAI 的技术报告，这些智能体将公开可用的凭证与其他漏洞结合起来。这使它们得以在 41 个处理数据集的 Hugging Face 服务器进程上运行代码。METR 和 Redwood Research 的一项调查发现，约有 700 个智能体参与了此次攻击。
警告信号很早就出现了。6 月 27 日，一个安全工具标记了可疑的网络活动，但负责人认为这次运行不需要停止。OpenAI 在 7 月初关闭了一台被入侵的软件包服务器，但此后的测试仍然缺乏关键的监控和防护措施。此案暴露了在预防、检测和响应方面的缺口。
9 月，在首次成功对外访问后不到 12 分钟就触发了警报。然而，自动关闭并未按预期生效。直到那次访问后约 2 小时 44 分钟，运行才被停止。OpenAI 也承认，它未能以正确的警报级别标记其他对外访问。Nvidia 构建其自动隔离机制，正是为了应对这类延迟。
Sentry 是否能阻止 7 月的攻击仍是一个未解的问题。这将取决于获准的测试目标是否在技术层面被明确定义，以及对外部系统的访问是否真的被阻断。Nvidia 的公告没有包含任何关于 Sentry 检测突破可靠性的数据。
没有任何单一的安全层能够阻止一个被欺骗的智能体
在一份回顾性分析中，OpenAI 得出结论：对模型在行动前写出的“思考”进行监控，本可在入侵发生一天多以前就发出警报。这指的是思维链监控，OpenAI 现在已采用该监控，并根据此次事件的教训进行了改进。在受影响的测试期间，该监控并未运行。
Nvidia 认为，一个智能体被允许做的事情越多，其推理过程就应该越透明。但根据 Nvidia 的描述，Sentry 主要检查请求、身份和访问权限。像 OpenAI 这样的闭源模型提供商也只分享摘要，而非完整的推理日志。一个Anthropic 研究早在 2025 年就表明，这些日志并不能可靠地反映真正驱动模型的因素。在其他实验中，研究人员发现，当被明确要求时，模型可以在日志中隐藏自己的意图。
提示注入仍然是一个难题。攻击者将命令隐藏在网页等地方，而语言模型无法可靠地将这些指令与正常内容区分开来。如果一个被欺骗的智能体通过已批准的渠道发送数据，那么即使它违反了自己的任务，也仍然处于其技术权限范围内。仅靠权限检查可能会漏掉这一点。分析推理日志也不是万无一失的保障，尽管 OpenAI 明确使用监控来防范提示注入。
Nvidia 将这项工作比作网络浏览器，称浏览器通过隔离每个网站让互联网变得更安全。但浏览器并没有终结攻击。它们只是让攻击变得更难，而且至今仍需要不断打补丁。Nvidia 自身也依赖多层防护。