智能体早已不止聊天：它会读代码、跑测试、查知识库、调内部系统，一跑几个小时。如果执行发生在员工的笔记本、浏览器或终端里，权限就跟着这台设备走，企业既说不清它看了什么，也拦不住它把数据带出去。NVIDIA 的 Secure Agent Workspace 参考设计做了一个架构切换：终端只做展示层，执行放进受管工作区。
第一阶段：先把边界围起来
每个用户分到一台公司管理的虚拟机，任务都在里面跑；登录走企业单点登录，没有通过认证就打不开工作区；出网默认全拒，只放行预先批准的内部和外部服务；任何会改变系统状态的动作，比如合并代码、更新工单，必须由人批准，不能由智能体自己决定；所有工作区活动日志汇到一处，供安全团队看异常。这一阶段把 VM 当主要隔离边界，目标是先让智能体行为可观察、有边界、可撤销，再谈更细的运行时控制。
第二阶段：把控制点前移到工具调用之前
第二阶段在 VM 内部加控制，管的是智能体实际能做什么：能读哪些文件、能跑哪些命令、能访问哪些服务。用 NVIDIA OpenShell 做主动沙箱，实时观察每个动作；安全策略由中央系统定义，以签名的安全包下发；密码和密钥不直接放进工作区，而由凭据代理在后台换取，智能体只拿到短期能力令牌，看不到原始密钥；每次动作执行前，系统自动校验安全规则仍然生效。核心是让智能体无法悄悄给自己扩权。
蓝图：把“允许做什么”写成模板
蓝图是跑在工作区之上的可复用工作流模板，每份都写明目标、所需工具、允许服务、数据范围、写权限、复核门和日志要求。它以该类用例的最大工具集为起点，开发者只做减法，把行为收窄到自己的需要。
落地时要先给智能体一个逻辑身份，经单点登录关联到用户或负责人，并用委派记录限定它的权限范围；绝不硬编码密钥，统一走凭据代理和短期能力令牌；推理侧由网关统一管配额、基于角色的访问控制和动态限流；治理侧设“爆炸半径”控制，规定哪些动作必须人工复核后才能执行，日志按 OCSF 格式输出，直接可用于审计。
同一套模式，两种底座
本地部署选 Red Hat OpenShift Virtualization，云上用 Microsoft Azure，核心模式一样：每用户一台专用 VM，终端只连到这台工作区，执行留在受管边界内，策略、访问控制和审计集中管理。网络从默认拒绝出网开始，OpenShift 用 NetworkPolicy、EgressFirewall 等原语；Azure 把出站流量送到 Firewall Premium，关闭 BGP 路由传播、拒绝企业 CIDR 访问、不保留任何公网入站路径。镜像只用批准过的：OpenShift 用 GitOps 管 VM 配置和平台状态，Azure 用 Packer 构建黄金镜像再经 Compute Gallery 发布。策略意图也存进 Git，由 GitOps 对账，签名后的运行时策略走受控发布通道。
这套设计针对的是“AI 工厂”把智能体推向全员之后的治理问题。对制造业同样适用：当智能体开始改工单、调排产、写设备参数，最先要定的不是它能做什么，而是它不能做什么、出了事怎么查、谁能按下暂停。工作区、身份、凭据、审计和人工复核，是这些问题的地基，不是上线后补的插件。
资料来源：How to Govern Autonomous Agents in Enterprise AI Factories — NVIDIA Technical Blog（2026-06-29）。本文为技术要点整理/编译，非原文全文。