AI 正在改变组织构建应用、处理信息和实现决策自动化的方式。随着 AI 智能体变得越来越自主，它们会访问敏感数据、调用工具并在企业系统中执行操作，因此保护 AI 智能体的基础设施变得比以往任何时候都更加重要。
AI 安全不仅限于模型和应用，还涵盖执行工作负载和实施安全控制的计算、网络、存储、固件和管理系统。
因此，可信的 AI 必须建立在可信基础设施之上。这意味着从假设信任转向可验证的信任：提供确凿证据，证明关键基础设施处于已知良好状态，配置正确，并且没有因漏洞、未经授权的修改、供应链妥协或持续威胁而偏离轨道。
NVIDIA 和网络安全合作伙伴 Eclypsium 正在推进云计算及代理式 AI 的基础设施安全性。
NVIDIA 的内置平台保护和 Eclypsium 的基础设施提供了信任层，用于在驱动 AI 的基础设施中建立并维持信任，从而形成从已经过验证硬件和固件到独立执行的 AI 智能体运行的更强信任链。
NVIDIA BlueField DPU 将可编程加速与基于硬件的信任、隔离和可配置的安全边界相结合，为保护此基础设施奠定了基础。多家云服务提供商围绕 DPU 构建基础设施。这些功能可帮助云服务提供商和企业根据其运营需求，构建安全且可扩展的基础设施。
不断发展的网络安全生态系统在这一基础之上，进一步扩展了各项功能。Eclypsium 提供持续性基础设施安全、固件完整性评估、配置分析和监测方面的专业知识，帮助组织增强其环境中的可见性和运营保障。
借助 NVIDIA BlueField，将安全融入设计
现代云和 AI 基础设施依赖于专用处理器，能够加速网络、存储、安全和管理。
NVIDIA BlueField DPU 将高性能网络、可编程计算和芯片内加速相结合，可独立于主机工作负载运行关键基础设施服务。
这种分离机制建立了明确的信任域，使基础设施运营商能够在不依赖其服务器上运行的应用程序和操作系统，独立管理并保护底层资源。
NVIDIA OpenShell 参考架构 的组成部分 NVIDIA Sentry 运行在 BlueField 上。在保护自主 AI 智能体方面，DPU 的安全变得越来越重要。BlueField 具有专用的 Arm CPU 核心、操作系统、固件和管理控制器，它的基础功能之一是将数据直接传输至主机和 GPU 显存中。这种特权地位使 BlueField 成为一个有效的独立控制点，这也是 DPU 被纳入每位运营商的安全模型、资产库存和监测的原因。
BlueField 采用纵深防御设计，从硬件信任根开始，扩展到固件、操作系统、软件和设备管理。
其安全架构包含验证启动、硬件强制隔离、受保护密钥管理、安全固件更新、回滚保护和设备认证。这些机制协同工作，可保护平台完整性并执行安全边界。
安全性还延伸到整个产品生命周期。NVIDIA 遵循严格的安全开发实践，包括威胁建模、架构和代码审查、自动化安全分析、漏洞管理、模糊测试和攻击性安全研究。
任何复杂的计算平台都无法完全避免漏洞。正因如此，NVIDIA 在受支持的产品整个生命周期内，始终致力于安全工程、漏洞响应以及软件和固件更新。
适用于不同基础设施信任模型的可配置安全模式
没有两个基础设施环境具有完全相同的安全要求。
与单租户企业 AI 集群或物理隔离的 AI 环境相比，支持多租户的超大规模云在运营时有不同的信任假设。
这些差异会影响管理权限、管理接口、设备访问和隔离边界的配置方式。
DPU 的一个显著优势是将芯片内加速和可编程计算相结合。与传统的高速网络适配器不同，DPU 提供专用的计算资源，能够独立于主机运行复杂的基础设施服务和策略。
NVIDIA BlueField 利用这种可编程性，通过可配置的安全边界来支持不同的部署模式。运营商可以确定启用哪些功能、接口的开放方式以及如何控制基础设施访问权限。
例如，云服务提供商可以将租户工作负载和主机操作系统置于一个信任域中，同时在提供商控制的一个独立的域中运行基础设施服务。
BlueField 支持将配置锁定为可加密验证的信任配置文件，从而帮助运营商建立并验证预期安全边界。
即便某项功能或接口存在，也并不意味着在所有部署中都必须将其开放或启用。安全的基础设施设计要求明确合适的信任模型，并据此对平台进行相应配置。
内存访问保护就是一个重要的例子。DPU、GPU 和管理控制器可以通过直接内存访问读写系统内存。Eclypsium 的研究表明了，主机控制 (例如 IOMMU 转换、PCIe 访问控制服务和地址转换服务) 的重要性。借助 Eclypsium，运营商可以验证关键硬件设置的配置，而不是依赖假设信任。
这种灵活性使组织能够平衡安全、性能和运营要求，而无需实施“一刀切”的架构。
通过生态系统扩展基础设施安全
基础设施内置的安全功能为防护奠定了基础。网络安全合作伙伴可以在此基础上满足额外的运营需求。
Eclypsium 提供了补充功能，重点覆盖基础设施可见性、固件完整性、配置评估和持续监测。Eclypsium AI Infrastructure Assurance 可根据已知的良好基准验证硬件和固件，识别漏洞和不安全的配置，监测设备和固件状态，并检测操作系统之下的漂移、未经授权的修改和持久性威胁。
对于希望在其环境中获得可见性的组织，Eclypsium 的技术可以帮助识别基础设施组件、评估固件，并检测威胁、恶意软件、漏洞和配置风险，以及可能影响其安全状态的更改。
这些功能为运营商提供了更多评估和管理基础设施安全性的工具。这些功能独立检验硬件完整性，并根据可验证证据，帮助建立对底层基础设施的信任。
例如，组织可以在部署期间建立经过批准的基础设施配置，使用 BlueField 的内置安全机制来保护平台完整性，再借助 Eclypsium 的评估功能来识别意外的配置更改或新出现的固件风险。
其价值不局限于任何单一设备。现代 AI 基础设施包括 GPU、DPU、管理控制器、网络设备和其他组件，每个组件都有助于改善整体安全状况。
随着环境的发展和演变，Eclypsium 更全面的基础设施评估功能可以帮助组织保持对这些组件的可见性。
单一安全控制机制无法在整个 AI 堆栈中建立信任。深度防御需要平台安全、独立验证和持续保障协同工作，每层都需提供证据，证明其他层是在可信的基础上运行的。BlueField 将安全融入设计，而 Eclypsium 则在 AI 基础设施中提供额外的验证和监测。
保障基础设施全生命周期的安全
基础设施安全性不会在系统进入生产时就终止。
设备会经历制造、调配、部署、操作、更新、恢复以及最终重新分配或停用。每次转换都会带来需要组织妥善管理的运营考量。
BlueField 在这些阶段都提供了安全保护，包括安全调配、经过身份验证的固件更新、回滚保护和设备认证。
随着基础设施的发展，这些机制有助于建立并维持平台完整性。
组织可以借助 Eclypsium 的生命周期评估和监测功能来补充这些保护，以保持对组件的可见性，检测威胁、恶意软件和漏洞，评估固件风险并识别随时间变化发生的配置更改。
这有助于形成可重复的操作实践，包括在部署前建立经批准的配置、在运行期间监测基础设施，以及在更新或恢复后重新评估相关设备状态。
在实践中，这意味着将每块 DPU、GPU 和管理控制器视为具有自有固件版本、配置和所有者的一级资产，将其与主机操作系统一起纳入漏洞管理，并将管理接口遥测 (例如基板管理控制器和 Redfish 日志) 纳入安全监测。由于这些组件在操作系统重新安装后还会存在，因此在将硬件重新分配给新租户之前，还应该在事件响应之后进行重新评估。
不同的机制提供了不同形式的保障：安全启动可对启动组件进行验证，认证可提供有关已测量平台状态的证据，配置评估可帮助运营商评估系统的部署和管理。
每一项机制都是必要的，但仅靠其中任何一项都是远远不够的。启动时的测量只能确认系统是如何启动的，而不能反映它当下的行为；对模型文件进行完整性检查只能确认磁盘上的文件，而不是内存中运行的副本。持续运行时验证有助于检测运行时的变化。从多个独立视角来收集同一状态，例如硬件设置的主机配置、PCIe 拓扑、管理控制器固件和更改历史记录，会迫使攻击者保持每个视图的一致性，这使得入侵行为更加难以隐藏。
通过研究和协作推进基础设施安全发展
安全是一个持续的工程、评估和改进过程。
随着基础设施变得越来越复杂，独立的安全研究在识别潜在弱点、挑战假设和推动行业安全实践方面发挥着重要作用。
NVIDIA 提供深厚的产品专业知识、安全开发实践和成熟的漏洞响应流程。Eclypsium 则在评估基础设施组件、固件和配置方面提供了独立的安全研究和专业知识。
这种互补的视角有助于将安全研究转化为产品保护、部署指南和运营实践方面的实际改进。
相关研究的目的在于促进生态系统更加强大。NVIDIA 与 Eclypsium 合作展示受损的 AI 基础设施如何影响模型及其推理，对存储模型完整性的检查完全正常：模型文件、其哈希值及其签名均保持有效，然而在内存中运行的模型的行为已然异常。
这一挑战并非任何供应商或架构所独有。不论是基于 GPU 的系统或替代加速器，还是自定义 ASIC 的系统都依赖于具有特权的组件，包括主机处理器、加速器固件、管理控制器、智能网卡以及在它们之间传输模型数据的机制。这些组件位于模型下方，可以访问运行模型的内存。
NVIDIA 在整个产品生命周期中持续在 BlueField 安全方面进行投入，评估已披露的研究发现，并提供适当的更新或指导。
技术提供商、网络安全合作伙伴、研究人员和基础设施运营商之间的协作有助于增强更广泛的生态系统，并支持可信基础设施的持续发展。通过“开放安全 AI 联盟”等努力，研究人员、技术提供商和安全团队可以将研究成果转化为共享的评估方法、验证检查和防御措施，从而提高 AI 基础设施的保障基准。
将可信基础设施扩展至代理式 AI
下一场重大计算转型已经开始。
AI 智能体正在从生成信息的系统演变为能够推理、访问敏感数据、调用工具并代表个人和组织执行操作的自主系统。
保护这些系统需要基础设施能够独立观察智能体行为、管理访问并实时执行安全策略。
借助 NVIDIA OpenShell 参考架构，NVIDIA 正在将硬件隔离的基础设施安全扩展到自主 AI 时代。
NVIDIA BlueField-4 为 NVIDIA Sentry 提供基础设施基础；Sentry 是基于 NVIDIA DOCA 构建的统一的安全软件框架。它独立于主机运行，在智能体可触及的范围之外，可对智能体行为进行带外监测，并在芯片内实时执行策略，以帮助检测和遏制威胁。
这种方法通过独立的基础设施保护层，对 NVIDIA OpenShell 的软件执行边界形成了补充。
随着各个组织规模化部署代理式 AI，底层基础设施的安全性变得更加重要。NVIDIA 提供用于治理和执行安全智能体行为的机制。Eclypsium 提供了其他工具来验证和监测 AI 基础设施中的硬件和固件。
由此形成一套可信 AI 的运营模型：验证基础设施、在独立的安全边界执行 AI、管理智能体的访问权限和执行的操作，并持续监测每一层是否存在可能破坏信任链的变更。双方也将持续评估潜在的攻击场景，并加强 AI 基础设施的安全性。