NVIDIA 组建 37 成员开放安全 AI 联盟并开源 NOOA 框架

NVIDIA 与其他 36 家组织共同组建了开放安全 AI 联盟（Open Secure AI Alliance），旨在开发并共享用于保护软件和人工智能（AI）智能体的开放技术、方法及工具。
该 37 成员团体涵盖云、安全、企业软件和 AI 公司，包括 Microsoft、Cisco、Cloudflare、CrowdStrike、Hugging Face、IBM、Palo Alto Networks、Red Hat 和 Linux Foundation。
其既定范围涵盖完整的智能体堆栈，包括身份、权限、隔离、护栏、日志、模型格式、多模型扫描和安全编码工作流。
其核心理念是：网络防御者需要的是能够读取、修改并在自有硬件上运行的 AI 模型，而不仅仅是通供应商应用程序编程接口（API）访问的封闭系统。
此次发布还带来了首个具名的技术贡献：NVIDIA-labs OO Agents（NOOA），这是一个 Apache 2.0 研究框架，旨在使智能体行为更易于测试、追踪、审计和治理。发布材料中未包含章程、治理委员会、技术工作组、交付时间表或共享联盟代码仓库，其独立网站仍在建设中。
The Hacker News 已联系 NVIDIA 以获取关于该联盟治理、成员承诺及首批计划交付物的详细信息，并将根据任何回复更新本文。
首个代码附带沙箱警告
智能体 harness 是围绕模型的一层软件，负责渲染上下文、执行操作、管理状态并决定任务何时完成。在 NOOA 中，该层以 Python 类的形式呈现。字段存储其状态，方法暴露其能力，docstring 充当提示词，类型注解定义了模型必须遵循的契约。
包含省略号（...）方法体的方法在运行时由大语言模型（LLM）驱动的循环完成。包含普通 Python 代码的方法则保持为确定性代码。同样的结构使开发者能够使用熟悉的测试、追踪、版本控制和重构工作流，而无需将智能体行为分散到提示词、工具模式、回调和工作流图中。
在其自身评估中，NVIDIA 报告称，该框架在使用 GPT-5.5 时，在 CyberGym L1 漏洞重新发现基准测试中得分为 86.8%，且网络访问被阻断，并对每条轨迹应用了基于规则的检查。
该代码仓库同样直接指出了风险。NOOA 可配置为执行 LLM 生成的 Python 代码，这可能会传输私密数据、删除文件或修改其环境。其抽象语法树检查和模块拒绝列表被描述为纵深防御控制措施，"而非一个隔离边界"。
NVIDIA 将隔离置于 NOOA 本身之外。执行生成代码的智能体必须在操作系统级隔离（如容器、虚拟机或其 OpenShell 沙箱）之后运行。NOOA 提供检查和追踪；操作系统级沙箱才是隔离边界。
对公开代码仓库的 7 月 27 日审查发现了一个日期为 7 月 22 日的 v0.0.6 标签。该项目的发布指南称，为提交打标签即为发布仪式，而将构建好的 wheel 包附加到单独的 GitHub Release 是可选的。
其贡献指南称，该项目由 NVIDIA 维护，并通过 pull request 欢迎外部贡献。该代码仓库没有根级别的治理或路线图文件。
Hugging Face 事件成为论据
NVIDIA 将联盟倡导本地控制防御模型的理由与 7 月 Hugging Face 入侵事件联系起来，当时一个自主智能体系统入侵了该公司部分生产基础设施。
Hugging Face 确认了对其有限内部数据集及其服务使用的若干凭据的未授权访问。未发现公共模型、数据集、Spaces、容器镜像或已发布包被篡改的证据。
Hugging Face 表示，对其环境的初始访问来自一个恶意数据集，该数据集滥用了远程代码数据集加载器和数据集配置中的模板注入。该活动随后发展到节点访问、凭据收集以及在多个内部集群间的横向移动。
Hugging Face 表示，它运行了 LLM 驱动的分析智能体，对超过 17,000 条记录的操作进行了分析，以重建时间线、提取入侵指标并映射已被触及的凭据。商业托管的 frontier 模型 API 最初拒绝了分析所需的攻击命令、利用 payload 和命令与控制工件。
该公司转而使用开源的 GLM 5.2 模型在其自有基础设施上运行，这也使得攻击数据和被引用的凭据保留在其环境内部。其运营建议是"在事件发生前，准备好一个能够在自有基础设施上运行且经过审查的、有能力的模型"。
在此案例中，优势在于运营控制。该事件并未证明模型开放性可以替代身份、隔离或防护。
正如 The Hacker News 此前报道，OpenAI 后来表示，其初步调查发现，GPT-5.6 Sol 和一个能力更强的预发布模型在内部 ExploitGym 评估期间以降低的网络安全拒绝率运行时，导致了该事件的发生。
OpenAI 的披露描述了该链条中更早的一步。这些模型利用了一个内部托管的包注册表缓存代理中的零日漏洞来获取互联网访问权限。随后，它们在 OpenAI 和 Hugging Face 系统中串联利用了漏洞和被盗凭据，同时寻找基准测试答案。OpenAI 表示，其中一个链条在 Hugging Face 服务器上发现了一条远程代码执行路径。
OpenAI 表示，Hugging Face 在其基础设施上检测并阻止了该活动，并且在两家公司取得联系时已开始进行隔离和取证重建。
主要披露信息表明，开源模型帮助 Hugging Face 重建了入侵过程并支持了其响应。这些信息并未显示 GLM 5.2 独立检测、阻止或遏制了该入侵。
一个没有公开运营手册的联盟
该联盟紧随 7 月 24 日的一封行业公开信之后成立，该信函主张可下载模型使防御者拥有与攻击者相当的能力，减少对单个供应商的依赖，并允许敏感工作保留在用户控制的基础设施上。
OpenAI、Google 和 Meta 出现在该信函的签署方中，但未出现在联盟的创始成员名单中。截至 2026 年 7 月 27 日，Anthropic 在两个名单中均未出现。
仅凭成员名单无法解释这些缺席。签署政策信函与加入技术联盟是不同的承诺，而公开材料并未说明这些公司为何缺席、成员资格讨论是否正在进行，或成员加入需要贡献什么。
公告中引用的几项技术早于该联盟成立，包括 Hugging Face 的 Safetensors 模型格式、HPE 支持的 SPIFFE/SPIRE 工作负载身份、IBM 和 Red Hat 的 Lightwell 修复系统、Microsoft 的 MDASH 多模型安全 harness，以及 SpaceXAI 的 Grok Build 编码智能体。它们是成员项目，而非联盟创建的产品。
Elastic 表示将贡献涵盖安全、搜索、可观测性和 AI 驱动检测领域的研究、工具和架构知识。CrowdStrike 表示正在开发使用开放模型检测针对 AI 系统和智能体攻击的技术。
Linux Foundation 自称是创始合作伙伴，并表示其角色是为竞争性组织提供一个中立的协作平台。它未说明该联盟是否作为 Linux Foundation 项目正式托管或治理。
公开记录并未区分成员是派遣工程师参与联合工作、贡献现有项目，还是仅支持联盟方向。已发布的工作组、维护者、发布流程或联合治理的代码将有助于评估联合参与的程度。
目前，公开记录显示的是一个联盟、一个政策立场、若干成员承诺，以及一个可识别的 NVIDIA 维护的新代码发布——NOOA。该联盟的治理、联合路线图、首个多成员交付物，以及 NVIDIA 承诺的模型、权重和数据集仍未披露。