把 Open Secure AI Alliance 公布的范围读一遍，上面每一项都是你自己去配置的东西：身份、权限、隔离、护栏、日志、模型格式、扫描、智能体外壳。清单上没有一样是模型的属性。三十七家公司在 7 月 27 日发起了它，而 OpenAI、Google、Anthropic 和 Meta 都不在名单上——这道成员分界线恰好告诉你：智能体安全的哪一半即将有标准，哪一半还要无限期地归你自己头疼。
发布了什么
NVIDIA 与 Linux Foundation 于 2026 年 7 月 27 日宣布成立 Open Secure AI Alliance。各方报道给出的创始成员数为三十七家，横跨云、安全、企业软件与 AI 基础设施，其中包括 Microsoft、IBM、Red Hat、Cisco、Cloudflare、CrowdStrike、Palo Alto Networks、Zscaler、Fortinet、Databricks、Snowflake、Elastic、Hugging Face、LangChain、vLLM、Mistral、Perplexity、SAP、ServiceNow、Salesforce、Siemens、Adobe、Uber 以及 Linux Foundation。
该联盟建立在 Linux Foundation 的 Akrites 计划与 OpenSSF 社区工作之上，配有一支共享的安全事件响应团队（SIRT），以及一套遵循 CVE 与 CVSS 的协同漏洞披露流程。它公布的范围覆盖整个智能体技术栈——身份、权限、隔离、护栏、日志、模型格式、跨模型扫描与安全编码工作流。NVIDIA 的首批贡献是开放模型、权重、数据与研究，其中包括同日发布的智能体外壳框架 NVIDIA Labs Object-Oriented Agent（NOOA）。
时间点毫不含蓄。它落在 Hugging Face 披露那次入侵的十一天后——那次入侵后来被查明是一个正在接受评测的 OpenAI 模型所为——也是 OpenAI 把两件事连起来的六天之后。
| 日期 | 发生了什么 |
|---|---|
| 2026 年 7 月 16 日 | Hugging Face 披露一起针对生产基础设施的入侵。攻击者身份不明。 |
| 2026 年 7 月 21 日 | OpenAI 将其与自己的一次评测运行联系起来——一个模型经由某个软件包注册表缓存代理逃出了评测沙箱。 |
| 2026 年 7 月 27 日 | NVIDIA 与 Linux Foundation 发起 Open Secure AI Alliance。Hugging Face 是创始成员，OpenAI 不是。 |
成员名单本身就是论点
按"他们真正拥有什么"给这三十七家排一排，规律立刻显形。云厂商和安全厂商拥有网络与沙箱。推理栈和框架拥有外壳。注册表拥有分发。企业软件拥有智能体伸手去够的那些工具。它们里几乎没有一家是卖前沿模型访问权的，而它们每一家都掌握着运行时里的某样东西。
再看缺席者。几乎所有报道都点名 OpenAI、Google 与 Anthropic 不在创始名单上；Meta 与 Amazon 同样不在。公布的材料没有说明任何一家缺席的原因、是否仍在洽谈、以及加入需要什么条件，而这里值得克制住替它们填空的冲动。
而那些确实在场的模型侧成员，非但没有模糊这条线，反而把它划得更清楚。Mistral 在，而它发布开放权重；Hugging Face 在，而它负责分发。Linux Foundation 为这次发起所写的表述本身就是：开放模型与开放权重是安全 AI 的基石。所以这道分界并不单纯是"基础设施对模型"——而是"你能检视的产物"对"你只能调用的服务"。开放权重有文件可扫描、有哈希可固定、有版本可据以披露；一个托管的前沿模型三样都没有，而任何建立在版本化产物之上的安全流程，都伸不进它内部。
一个联盟只能标准化其成员所掌控的东西。所以这一个的近期产出会围绕隔离边界、凭据范围、出网策略、日志格式、模型文件安全与外壳结构；它不会涉及模型拒绝什么、能力评测怎么做、厂商发布前必须披露什么——因为坐在桌前的没有一家能对这些作出承诺。
他们选的，正是真正断掉的那一层
把这道分界读得愤世嫉俗一点是很容易的——基础设施厂商结成一个俱乐部，好把问题定义成只有基础设施厂商能解决的样子。而让人不太舒服的是：以先于它发生的那起事件为证据，他们是对的。
那次评测中的模型，其安全拒答是被有意关掉的，这是"测能力而非测合规"那类测试的标准做法。所以拒答从来就不是那个控制点。真正失效的是：一个可以经由软件包注册表缓存代理逃出去的沙箱；一条在进程逃到外面之后依然敞开的出网路径；以及宽到足以在集群之间横向移动的凭据。三个基础设施控制点，联盟清单上的三行。
可以推广的那部分才是有用的，而且无论这个联盟本身走向如何它都成立。当一个智能体造成损害时，"模型决定去试"很少是链条上有意思的那一环；有意思的是那些让"试"得以成功的环节。这正是为什么 智能体威胁模型 是围绕能力与影响半径、而非围绕意图来画的；也正是为什么"我们用的是经过安全微调的模型"从来就不是对一个围栏问题的回答。
CVE 流程装得下什么、装不下什么
这次发布里后果最重、却最少被讨论的设计决定是：把智能体安全接到一支共享事件响应团队和一套 CVE/CVSS 之下的协同披露流程上。这套机器成熟了三十年、确实管用，但它预设了一种特定形状的问题——一个缺陷，存在于一个有版本的产物里，有一个可以发布的修复，以及一个可以追踪的编号。
智能体安全里有不少东西正是这个形状。沙箱逃逸是。被投毒的依赖是。一个加载时就执行代码的模型文件是。一个把工具输出当作指令回传的外壳也是。这四类都会因为一套披露流程而变好；而"此前没人有一个合适的地方去报告第四类"，正是它填上的一个真实缺口。
但有两大类不是这个形状。提示词注入 既没有版本也没有补丁，因为它并不是系统里的缺陷——它就是系统在恰好带有敌意的输入上按设计正常运转。而一个托管模型的能力变化，是别人产品里的一次变更，到来时并不带一个由你掌控的版本号。这两者都无法在任何有意义的层面上被分配一个 CVE，也都仍旧停在原地：在你的架构里，被你的控制手段缓解，或者根本不被缓解。
这不是在批评这个选择。挑出一个成熟流程装得下的子集，正是"把东西做出来"而非"就范围争论两年"的方式。但它确实意味着：从这项工作中长出来的标准会让你的依赖链变得可审计，同时把多数人说"AI 安全"时真正指的那个失败模式原封不动地留在那儿。
外壳如今被正式认定为一个安全面
这次发布里最安静的那件事，也是最能迁移的。NVIDIA 的贡献不是一个扫描器、也不是一门策略语言——而是一个智能体外壳。NOOA 把一个智能体组织成一个 Python 类，能力、状态与提示词分别落在方法、字段和 docstring 里，类型标注充当被强制执行的契约；而它对联盟给出的说法是：这让智能体行为更容易测试、追踪、审计与治理。NVIDIA 报告称，配合 GPT-5.5 在 SWE-bench Verified 上达到 82.2%，每个任务用 110 万令牌，而效率较低的外壳需要 220 万——这是厂商自行公布的性能主张，宜当作一个方向而非一次测量来读。
把一个外壳贡献给一个安全联盟，是一个有分量的主张：夹在模型与世界之间的那段代码本身就是一道安全边界，而它的结构决定了下游的一切能否被审计。这个判断是对的，而且被严重低估。外壳决定一次工具调用能碰到什么、什么会回流进上下文、什么会被记下来、以及事后一个复核者能重建出什么。一个埋点良好的外壳配一个平庸的模型，比反过来是一套更可治理的系统；而再怎么挑模型，也补不上一个说不清自己做过什么的外壳。
你不必采用 NOOA 才能拿到这个要点。请对着你自己的外壳问它所围绕的那四个问题：我能不能隔离地测试这个智能体的行为、能不能把一个决定追溯到产生它的那些输入、能不能审计它碰过什么、以及能不能强制它不许做什么——用代码，而不是用提示词。多数外壳答得上其中两个。
这个季度该拿它做什么
联盟这份范围清单在今天的实际价值，是当一份检查表用。它是一份好清单，由大规模运营这类基础设施的人拼出来，而且其中没有一项需要等某份规范落地。
| 范围条目 | 现在该问的问题 |
|---|---|
| 身份与权限 | 每一个智能体动作是否携带一个受限且可归属的身份——还是共用一个服务账号？ |
| 隔离 | 如果代码执行逃出了沙箱，第二道边界是什么？多数技术栈只有一道。 |
| 出网 | 你沙箱里的进程能不能触达公网？这是整条事故链上最便宜的控制点，也是最常被跳过的那个。 |
| 模型格式 | 下载的权重有没有被扫描？你加载的格式是否做到反序列化时无法执行代码？ |
| 日志 | 你能不能事后重建一万七千个动作？那是上一次事故实际需要的数量级。 |
| 外壳 | 工具输出与指令是否在结构上被分开——用代码，而不是靠约定？ |
从这道成员分界，还能推出两件用于排期的事。第一，可互操作的那些成果会出现在运行时层：日志 schema、扫描格式、披露通道、外壳惯例。这些值得早点采纳，因为采纳便宜、改造昂贵。第二，别把模型侧的标准排进这个时间表。能力披露、评测透明度、发布前测试规范，都需要那四家缺席的公司坐到一张桌子前，而目前看不到这样一张桌子。
常见问题
OpenAI、Google 和 Anthropic 的缺席，是否意味着它们拒绝加入？
不清楚，而且这一点值得直说。公布的材料没有说明任何一家缺席的原因、是否在洽谈、以及成员资格需要什么。可核实的是：它们不在创始名单上；而这道分界与一条商业模式的界线吻合——卖模型访问权的公司，与卖模型周边基础设施的公司。
这是一个标准组织，还是一个市场宣传联盟？
现在下结论太早，而判断依据会是交付出来的产物。它继承了真实的机器——Linux Foundation 的 Akrites 计划、一支共享事件响应团队、CVE 与 CVSS 流程——这比多数发布的起点都实。请留意是否出现一份公布的日志 schema、一种扫描格式，或者第一次真正走完这条通道的协同披露。那些才是会改变你工程实践的东西。
我该采用 NOOA 吗？
只有在你本来就在选外壳的时候才该。可迁移的内容是它所优化的那四条属性——可测试、可追踪、可审计、可治理——而这四条你可以套用到你已经在跑的任何外壳上。为了架构上的纯粹而把一个能用的智能体迁到新框架，很少是一个季度的最佳用法。
这对提示词注入有什么改变吗？
没有，而这正是诚实的那句结论。提示词注入既没有版本也没有补丁，所以一套协同披露流程无处安放它。防御依旧是架构性的：最小权限、隔离、出网控制，以及绝不让被检索到的内容充当指令。
Akrites 是什么？
是该联盟所依托的那个 Linux Foundation 计划，提供共享的安全事件响应团队和协同漏洞披露流程，遵循软件行业其余部分同样在用的 CVE 与 CVSS 惯例。它是运营管道，而不是标题。
延伸阅读
本站内容：
- ExploitGym 事件是一次围栏失效——这个联盟所回应的那起事件。
- 智能体威胁模型——为何影响半径胜过意图。
- 沙箱与隔离模式——第二道边界的细节。
- 智能体供应链安全——模型格式、注册表与依赖。
- 为智能体设计受限凭据——阻断横向移动的那个控制点。