NVIDIA Agent Toolkit 再扩展：企业 Agent 的战场在数据与运行边界
2026 年 10 月 21 日，柏林 GTC。NVIDIA 更新了开源 Agent Toolkit，公告开头是一句很像废话、但每年都被重新验证的话：
Agents are only as useful as what they know, and only as trustworthy as the boundaries they run within.
Agent 的有用程度取决于它知道什么，可信程度取决于它在什么边界里运行。
这句话是整篇公告的提纲。因为这次扩展的全部内容，可以拆成两半：一半让 Agent 能用上企业数据，一半让企业能管住 Agent 的运行。
这次到底加了什么
Agent Toolkit 不是新东西，它此前就在做「Agent 的开放技术栈」。这次扩展后的清单是这样：
| 层 | 组件 | 作用 |
|---|---|---|
| 数据与知识 | NVIDIA Agent Knowledge Foundation | 把企业数据变成 Agent 可用的业务智能 |
| 计算库 | CUDA-X（cuDF、cuGraph、cuML、cuOpt、cuVS） | 数据处理、图、机器学习、优化、向量检索 |
| 语义层 | Auto-Ontology（新开源库） | 把原始数据翻译成客户、产品、订单这类业务概念并建关系 |
| 开放模型 | Nemotron Retriever、Kumo 系列 | 检索、表格、关系、时序、预测 |
| 运行时 | NVIDIA OpenShell | 安全运行边界，控制 Agent 能访问什么、能做什么 |
| 蓝图 | NVIDIA NemoClaw | 安全专用 Agent 的参考设计，新增「Agent 优化」蓝图 |
| 工具与技能 | NeMo Relay、NeMo Compass | 接入与观测 |
这里最容易被忽略的是 OpenShell 和 NemoClaw 在同一张表里的意义。大多数「企业 Agent 平台」的公告只讲数据和模型，NVIDIA 把运行时边界提到了和模型同级的位置。
Agent Knowledge Foundation：不搬数据这件事有多重要
先看官方对它的定位：帮助企业把数据变成「company intelligence」，Agent 可以找到相关信息、理解它对业务意味着什么、用来做预测并帮人决定下一步。
然后是三个「不需要」：
- 不需要迁移数据
- 不需要重建现有工作流
- 不需要改动治理控制
这三句是企业采购里的硬通货。过去两年，企业 Agent 项目死得最多的环节不是模型不会推理，而是数据出不了仓库——安全团队不放行、合规不批、数仓团队不愿意为一个 PoC 开新管道。一个能在原地读数据的语义层，绕过的是组织问题，不是技术问题。
具体实现上，Auto-Ontology 负责把表结构和字段翻译成业务概念：客户、产品、订单，以及它们之间的关联。这件事听起来朴素，但它是 Agent 能不能自己写对 SQL、能不能自己判断「这个数字是营收还是回款」的前提。
Kumo 系列补的是结构化数据上的预测能力，包含四个模型：
- Kumo Tabular（表格）
- Kumo Relational（关系型）
- Kumo Time Series（时序）
- Kumo Forecast（预测）
再配合 Nemotron Retriever 做检索。这套组合的假设很明确：企业的核心知识不在文档里，在数据库里。 一个只会 RAG 文档的 Agent，永远碰不到库存、账期、产能这些真正影响决策的数字。
已经落地的企业与可核验的数字
公告列出的接入方名单很长，值得按「谁在用什么」来读，而不是按公司名气读。
Palantir + NVIDIA 自己的供应链部门。 NVIDIA 的供应链组织通过 Palantir Foundry、Ontology 和 AIP 使用 Agent Knowledge Foundation，部署专用 Agent，从专有数据里生成可执行情报、预测结果、优化决策。这是最完整的一个闭环案例：数据在 Foundry，语义在 Ontology，Agent 在 AIP。
Databricks。 把 NVIDIA Kumo Anomaly 与 Databricks Genie Ontology 结合，做上下文感知的 Agent。注意这里用的是「异常检测」模型，不是通用大模型——说明他们的场景是监控类，不是问答类。
Snowflake。 客户可以在 Snowflake Notebook 环境里直接用 Kumo Engine 和 Kumo Relational 开放模型，增强预测能力。模型进 Notebook 这件事，对数据团队的门槛几乎为零。
检索侧的三个可量化结果，是这次公告里少见的硬数字：
| 企业 | 用的模型 | 结果 |
|---|---|---|
| Amazon OpenSearch Service | Nemotron 嵌入模型 | 相关性提升，检索步数更少，几乎没有额外延迟 |
| SAP | 微调后的重排序器 | 运行速度提升近 3 倍 |
| ServiceNow | Nemotron Retriever | 重排序质量提升，延迟降低近四分之一 |
| Zoom | Nemotron Retriever | 改善文档理解、搜索相关性、上下文检索 |
AWS、ClickHouse、Cloudera、Cohesity、Dassault Systèmes、Dell、Elastic、Exa、IBM、NetApp、Oracle、Perplexity、Starburst、VAST Data 也在基于这套东西构建。名单覆盖了数仓、搜索、存储、分析引擎——这不是一批应用厂商，是一批数据基础设施厂商。
名单的性质，比名单的长度更能说明问题。
运行边界：OpenShell、NemoClaw 和硬件级监控
数据侧解决「Agent 知道什么」，运行侧解决「Agent 能干什么」。
OpenShell 提供安全运行时，让企业控制 Agent 可以访问什么、执行什么。它不是一个 SDK 里的开关，而是把 Agent 关进一个受策略约束的执行环境。
NemoClaw 提供参考蓝图。这次新增的是「Agent 优化」蓝图，给了一条分步路径，让 Agent 随着时间推移在自己的工作上变得更好。蓝图这个词容易被低估——企业真正缺的不是框架，是「按这个顺序做就不会错」的施工图。
还有一个容易被漏掉的细节，出现在 ServiceNow 的合作里：OpenShell 参考架构包含 Sentry 软件，计划跑在 BlueField-4 DPU 上，独立于 Agent 所在主机的软件栈监控 Agent，并在硬件层执行安全策略。时间点是 2027 年初。
「独立于主机软件」这五个字，是这套设计里最有分量的一句。原因在第三篇里会详细讲——当一个 Agent 有能力修改运行它的环境时，装在同一环境里的监控就不再是监控了。
NemoClaw v0.0.137：一个版本号里的信号
10 月 20 日，NemoClaw 发布 v0.0.137。release notes 的第一条是模型默认值变更：
NemoClaw v0.0.137 changes the default hosted model for new OpenClaw and Hermes NVIDIA Endpoints and OpenRouter onboarding to Nemotron 3.5 Super VL.
拆开看有三层：
- 新接入的 NVIDIA Endpoints 默认模型改成
nvidia/nemotron-3.5-super-vl-120b-a12b - OpenRouter 接入用它的目录 ID：
nvidia/nemotron-3.5-super-vl - 例外条款：显式指定的模型选择、以及 Deep Agents Code Ultra 的默认值，保持不变
这个改动很小，但它把 NVIDIA 的策略摊开了：分发渠道在谁手里，默认模型就换成谁的。 OpenClaw、Hermes 这些 Agent 框架的接入向导，加上 OpenRouter 这个模型路由入口，三处同时切默认值，等于把「第一次运行用哪个模型」这个决策从用户手里拿走了。
release notes 里还有一条容易被跳过的运维提示：升级 NemoClaw 之后，已有沙箱不会自动换镜像，需要跑 nemoclaw upgrade-sandboxes 检查或重建。
# 升级 NemoClaw 后，已有沙箱默认保留旧镜像
nemoclaw upgrade-sandboxes同一版里还有几个安全相关的改动，方向一致——都在收紧默认值：
- 托管沙箱镜像构建纳入已修补的系统库，镜像校验会拒绝过期的软件包清单
- MCP SDK 依赖图统一到 1.32.0
- 应用 Pi 配置时，托管启动会拒绝 catalog 和 settings 路径上的符号链接
- 新技能安装拒绝超过 64 字符的名称（已装的旧技能仍可卸载）
符号链接拒绝这一条，是典型的「防本地提权」细节。企业级 Agent 运行时的竞争，最后往往就落在这种地方：你有没有把每一个可以被替换成指向别处的路径都堵上。
ServiceNow × NVIDIA 的 Arc：连续跑几小时到几天
10 月 22 日 eWeek 报道，ServiceNow 在扩大与 NVIDIA 合作的同时，宣布 Arc 正式可用（GA 时间为 10 月 21 日）。
Arc 的定位是「个人企业 Agent」，能力和上面那套基础设施正好咬合：
任务起点不是指令，是未完成的工作。 它会从员工的收件箱、任务积压、会议对话里识别出没做完的事——待审批、待跟进——然后接手。员工给的是目标，不是步骤；它自己定计划、跨系统执行、检查进度、必要时调整。
运行时长的量级变了。 官方描述是可以跨分钟、跨天持续，不需要有人盯着每一步。这跟「一次对话一次回答」是两个物种：长任务的失败模式不是答错，是中途环境变了而它没发现，或者它自己把环境改了。
缺连接器就自己写。 当现有连接器不支持某个任务时，Arc 可以写一个新的集成去和别的应用通信。这个能力很强，风险也很直接：它产出的代码必须跑在同样的权限边界里——ServiceNow 明确说，Agent 创建的集成也要受同一套边界约束。
模型分两级。 日常负载用跑在 NVIDIA RTX Spark 硬件上的小模型，更复杂的请求再走前沿模型。这个设计对应的是成本结构，不是能力炫耀。
权限由 IT 定义。 管理员在 ServiceNow 的 Super Intelligence Control Tower 里规定 Agent 能访问哪些应用和数据，OpenShell 在运行时执行这些限制。
还有一层没上线。 ServiceNow 计划用 AI Passport 记录每个 Agent 被允许做什么，未来让软件层和硬件层的执行机制都能识别「权限已被撤销」并阻断。官方明确：跨层执行 Passport 属于后续版本，不在 Arc 当前可用范围内。
这条「还没上线」的说明，比任何已上线的功能都值得记住。它说明业界当前的普遍状态是：权限有定义，但撤销还没有穿透到执行层。
Arc 的商业条款也值得一提：包含在 EmployeeWorks Foundation、Advanced、Prime 订阅里，不额外收费；Mac 已支持，Windows 预计几周内。
一个反直觉的研究结果
eWeek 挖出了 ServiceNow Research 三月的 EnterpriseOps-Gym 研究（1,150 个模拟职场任务）。其中一个实验的结论，对企业选型很有参考价值：
给较小的模型提供专家手写的执行计划后，40 亿参数的 Qwen3-4B 在三个工作领域上全部超过了 300 亿参数的 Qwen3-30B。
| 工作领域 | Qwen3-4B | Qwen3-30B |
|---|---|---|
| 客户服务 | 37.2% | 33.9% |
| IT 服务管理 | 23.3% | 20.9% |
| 人力资源 | 36.4% | 33.2% |
在三个模型、三个领域的实验里，人类手写计划相比无计划，把任务完成率提升了大约 14 到 35 个百分点。
研究者也给了两条限定：模型自己生成的计划，提升幅度明显小于人类写的；这个实验不能证明 Arc 的准确率或成本节省。
但这个结果指向的判断很清楚：在可重复的企业流程里，流程知识的价值高于模型参数。 这正好解释了 NVIDIA 为什么把 Auto-Ontology 和 Kumo 放在和 Nemotron 同等的位置——企业 Agent 缺的不是更聪明的脑子，是「这个公司里事情是怎么运转的」这层知识。
护城河的两条边
把整篇公告浓缩成一句话：企业 Agent 的护城河，一条是「企业数据可被 Agent 用」，一条是「运行边界可被审计」。
第一条边，NVIDIA 的打法是「不搬数据」。Agent Knowledge Foundation 在数据原地建立语义层，CUDA-X 在数据原地算，Kumo 在数据原地预测。企业不用为了一个 Agent 项目重做数据治理——这是唯一能规模化复制的路径。
第二条边，打法是「把边界做进运行时」。OpenShell 管住能访问什么，NemoClaw 给出可抄的施工图，Sentry 计划在 2027 年把监控挪到 DPU 上、独立于主机软件。三条加起来，指向同一个目标：让「Agent 做了什么」这件事可被第三方验证，而不是只能相信 Agent 自己说的话。
这也解释了名单里为什么是一堆数据基础设施厂商，而不是应用厂商。应用层可以随时换供应商，数据层和运行时层换不掉。 谁卡住这两层，谁就定义了企业 Agent 的地基。
对读者意味着什么
如果你在企业里推 Agent 项目： 先别选模型，先回答两个问题——数据能不能不搬家就被读到？Agent 的每一次工具调用有没有独立的日志？这两问答不上来，模型选谁都一样。
如果你在评估 NemoClaw / OpenShell 这类运行时： 把默认值当成安全配置来审。v0.0.137 那种「新接入默认切模型」的改动，说明默认值是会被供应商单方面改变的；你的评估清单里应该有一项叫「默认值变更的通知机制」。
如果你在做 Agent 产品： 注意 Arc 那个「缺连接器就自己写集成」的设计。它把能力上限打开了，也把攻击面打开了。写出来的代码跑在谁的权限下，是必须提前想清楚的问题。
如果你只是关注行业： 记住这次公告的措辞——模型、框架、运行时、数据、工具「放在一起」。单点工具的窗口正在关闭，2026 年下半年之后的竞争，是整栈交付能力的竞争。
发布日期：2026-10-23信息来源：NVIDIA 官方博客（2026-10-21）、NemoClaw v0.0.137 release notes（2026-10-20）、至顶网、eWeek（ServiceNow Arc，2026-10-22）