SentinelOne 與 NVIDIA：從晶片到執行階段全面治理 AI
文章來源 / SentinelOne official blog
為什麼 AI 必須由其無法觸及的機制來治理
10月初 NVIDIA 宣布推出了 NVIDIA 開放代理安全平台（NVIDIA Open Agent Safety Platform），並指定 SentinelOne 為關鍵合作夥伴。這項新倡議直接契合了 —— 實現 AI 有效安全與治理的關鍵，也是真正保障由 AI 驅動的世界所不可或缺的要求。
目前存在的所有安全欄（Guardrail），都基於模型本身可以觸及的軟體中。
問題看似簡單，解決起來卻非常困難。模型在完成對齊（Alignment）後便以非確定性（Non-deterministic）的方式運行，而且越來越多地部署在端點上，並被賦予執行的權限：例如車輛、工業系統、人形機器人以及能夠存取企業系統的 AI Agents。模型對齊情況在發布前會進行檢查，但在執行階段卻沒有任何機制進行獨立的監控。
上週發生的事件展示了這種風險：一個前沿實驗室在訓練中的 AI 代理突破了其網路限制。監控系統在 15 分鐘內發出了警報，但自動切斷開關失敗了，最終花了兩個半小時才透過人工手動停止運行。如果沒有獨立且具備行動能力的機制，僅靠「監看」是遠遠不夠的。
如果企業無法知道 AI 代理在做什麼、它在行使誰的授權、以及該授權的邊界是否切實有效，企業就無法可靠地將重要工作委託給代理。這些保證需要整個基礎設施底層的支援，我們不能僅僅依賴模型會乖乖「聽從指示」。
出於模型觸角之外
自 1972 年詹姆斯·P·安德森（James P. Anderson）在為美國空軍撰寫的研究報告中定義了「參考監視器（Reference Monitor）」以來，安全領域對這個問題就有了標準規範：執行策略的機制必須具備防篡改性、必須始終被呼叫，且必須足夠精簡以利驗證。這至今仍是執行架構的黃金標準。而一個模型能夠觸及的安全欄，從定義上來說就無法通過第一項測試。NVIDIA 自己的安全工程師也指出：「一個代理可以選擇不呼叫的控制機制，就不是有效的安全控制機制。」
AI 需要相同的標準。模型必須由一個獨立於其所監督的智慧體、且無法被該智慧體觸及的層級來治理：該層級與模型及其算力一同即時運行，並產生可透過加密方式證實（Cryptographically Attestable）的執行階段行為證據，讓營運者、監管機構和保險公司能夠進行獨立驗證。
以硬體為根基
今天發布的 NVIDIA 開放代理安全平台，是邁向企業級 AI 所需運算基礎的重要一步。在其各項能力中，硬體隔離（Hardware Isolation）與證明（Attestation）是最具影響力的。產業如何利用這些能力、以及在其之上構建什麼，將決定其價值的優劣。
這項宣布背後的信念，所持有的：AI 改變了運算堆疊為了使其行為值得信賴所必須提供的東西。這需要在代理執行階段與其下方的受保護基礎設施之間建立清晰的連結，形成一個凝聚的堆疊，讓可視性與可強制的控制機制成為 AI 執行的基石。
SentinelOne 致力於建立根植於硬體的安全。NVIDIA 的 BlueField-4 將安全執行機制置於主機作業系統之外，租戶軟體（Tenant Software）無法停用或繞過它。結合其他安全機密區架構，它提供了一種直接從硬體保護執行階段的方法，並將必須保護的攻擊面縮減至硬體邊界本身。它同時也整合了網路、身分、資料等網路安全堆疊至端點中。
這只是另一步，要建構真正安全的架構仍有大量工作要做。硬體邊界本身必須堅不可摧，特別是在真實世界應用不容許出錯的地方。它必須跨部署環境保持一致：企業和政府在運用前沿 AI 服務的同時，也需要處理必須保留在地端的工作負載，而他們對資料和行動的控制權必須在這些過渡中持續存在。此外，它還必須擴展到任何支援它的算力上的任何 AI。
我們的目標非常明確：任何運行在真正安全、以硬體為根基的運算架構上的事物，都應該在物理世界和數位世界中獲得可證明的治理。實現這一目標對最終使用者而言還必須是簡單、直覺且透明的——沒有人需要為了享受證明的效益而被迫去理解什麼是「Attestation」。
可驗證性（Verifiable Agency）
更廣泛的問題是：當自主權（Agency）散布於人類與機器之間時，該如何治理行動？這可以歸結為六項要求：
即時性： 如果系統無法及時採取行動，一切都毫無意義。
可證性： 如果系統無法展示其行動背後的證據，就無法被信任。
獨立性： 如果系統在需要時無法獨立行動，就無法進行防衛。
邊界性： 如果系統無法維持在邊界之內，就無法被治理。
歸因性： 如果系統的行動無法歸因，權限就會消失。
問責性： 如果失去了問責性，控制就只是幻想。
這就是「可驗證的自主權（Verifiable Agency）」。
使這些要求得以實現的關鍵在於持續的行為可視性（Continuous Behavioral Visibility）：即時觀察、理解並驗證人類與機器如何採取行動的能力。
SentinelOne 成立於十多年前，其信念是「行為是關鍵訊號」，也是以機器速度區分良性與惡意行為的唯一可靠方法。我們的行為 AI 目前已在全球規模部署，保護著近五分之一的《財富》500 強企業，而我們正在將相同的原則擴展，使自主行動變得可驗證、可治理且值得信賴。
在實踐中，這意味著 AI 以機器速度運行，同時每一個自主行動都保持可追溯、可審計，且可由人類進行干預與覆蓋。AI 提供規模、速度和模式識別；人類則提供判斷、上下文以及這些系統被期望恪守的價值觀。這種安排既是工程問題，也是問責問題。
可認證性與可承保性
監管、標準與保險正在收斂至相同的要求上。監管機構將期望看到 AI 系統在執行階段如何表現的證據，而不僅僅是發布前如何對齊。標準制定機構將需要一個共同的基礎來定義和衡量該行為。保險公司將據此對風險進行定價。證明（Attestation）將是這三者所依賴的證據。
在幾年之內，缺乏經證實之執行階段治理的 AI 產品將難以獲得認證與承保，對物理 AI（Physical AI）而言更是如此。
建立這些基礎是 SentinelOne 承諾投入的工作。這需要跨堆疊進行持續的研究與工程，並讓信任的宣示建立在可證明的行為之上。
留言