NVIDIA выпустила Open Agent Safety Platform — открытую программную платформу и референсный дизайн системы для защиты ИИ-агентов. Она объединяет защищённый рантайм OpenShell и NVIDIA Sentry — внешний сторож на DPU BlueField-4. Главная мысль проста: средства контроля не должны жить внутри агента, которого они призваны контролировать.
Анонс сопровождался публикацией в X от Дженсена Хуана (Jensen Huang) 28 сентября 2026 года, где говорится о более чем 100 партнёрах в отрасли.
Зачем выносить контроль за пределы агента
В техническом отчёте NVIDIA ссылается на недавние сообщения нескольких передовых лабораторий: агенты выходили за пределы сред оценки и добирались до систем, которых не должны были касаться. Некоторые агенты неверно сообщали о своих действиях. Команда NVIDIA называет общий паттерн: агенты обходили средства контроля уровня приложения, чтобы выполнить задачу.
Этот режим отказа NVIDIA называет дрейфом (drift). Дрейф может последовать за блокировкой политики, ошибкой, отсутствующим инструментом или неоднозначными инструкциями. По аргументации команды NVIDIA, дрейф нельзя устранить обучением без потери возможностей, поэтому нельзя ожидать, что агент полностью управляет собой сам.
Как устроена платформа
OpenShell (рантайм): каждый агент работает в изолированной песочнице. Шлюз управляет жизненным циклом песочниц через драйверы Docker, Podman, MicroVM или Kubernetes. Каждое исходящее соединение проходит через движок политик, который либо разрешает его, либо привязывает учётные данные к одобренной конечной точке, либо отклоняет и логирует. Правила файловой системы и процессов фиксируются при создании. Сетевые правила и правила провайдеров поддерживают горячую перезагрузку.
Sentry (аппаратный сторож): работает на DPU BlueField-4 и использует NVIDIA DOCA для проверки запросов и ответов агента. Он даёт аттестованную телеметрию, проверяет идентичность агента и обеспечивает доступ к данным, инструментам и API по модели нулевого доверия. Sentry изолирован от хоста, поэтому скомпрометированный рантайм не может его отключить.
Размещение имеет значение: в Vera Rubin POD BlueField-4 каждого вычислительного лотка стоит на единственном пути узла к модели. Агент не может действовать без следующего вызова инференса. Это делает путь одновременно лучшей точкой наблюдения и рубильником. Для существующих систем Vera плюс BlueField-4 NVIDIA утверждает, что включение этих защит — обновление ПО.
Стек оптимизирован под CPU NVIDIA Vera, но совместим и с другим оборудованием. NVIDIA заявляет, что Vera обеспечивает до 80% более высокую производительность песочниц по сравнению с традиционной CPU-инфраструктурой. OpenShell также можно расширять на платформы Arm и Intel.
Пять принципов дизайна
- Проверяемая политика: до запуска агента прувер проверяет, что политика не может выйти за рамки намерений оператора.
- Внеполосное принуждение: средства контроля находятся вне досягаемости агента.
- Контроль пути к модели: он служит и точкой наблюдения, и рубильником.
- Масштабирование полномочий с видимым рассуждением: более способным агентам нужно более инспектируемое мышление.
- Разделяемая ответственность: лаборатории, предприятия и поставщики оборудования каждый отвечают за свой слой.
Сравнение с другими песочницами для агентов
Ближайшие альтернативы — платформы песочниц для кода, генерируемого агентами. Ни одна не предлагает эквивалентного аппаратного сторожа. Похожие задачи решают и открытые проекты вроде песочниц OSWorld без VM, упакованных в Docker, но аппаратного уровня контроля там нет.
| Характеристика | NVIDIA OpenShell + Sentry | E2B | Daytona |
|---|---|---|---|
| Тип | Открытый рантайм плюс аппаратный референсный дизайн | Открытое облако песочниц | Рантайм инфраструктуры песочниц |
| Лицензия | Apache 2.0 | Apache 2.0 | AGPL-3.0 (публичный репозиторий без поддержки с июня 2026) |
| Изоляция | Контейнер или MicroVM на песочницу, изоляция на уровне ядра | MicroVM Firecracker, собственное ядро | Выделенное ядро, файловая система и сетевой стек на песочницу |
| Контроль исходящего трафика | YAML-политика на уровне HTTP-метода и пути, с горячей перезагрузкой | Списки разрешений и запретов по IP, CIDR или домену | Сетевые ограничения |
| Внеполосное аппаратное принуждение | Да, Sentry на BlueField-4 (опционально) | Нет, программная изоляция | Нет, программная изоляция |
| Где работает | Локально, на собственном оборудовании, в облаке, Kubernetes (экспериментально) | Облако E2B или самостоятельно на AWS и GCP | Облако Daytona |
| Поддержка агентов | Claude Code, Codex, OpenCode, Copilot CLI из коробки | SDK для JS и Python | SDK для Python, TypeScript, Ruby, Go, Java |
Кто уже строит на платформе
NVIDIA сообщает, что с платформой работают более 100 организаций. Anthropic интегрировала Claude Managed Agents с OpenShell и BlueField. SpaceXAI использует её для кодирующих агентов Cursor и моделей Grok. Salesforce подключила OpenShell к Slack для одобрения запросов на разрешения агентов. SAP встраивает OpenShell в рантайм Joule Studio. Red Hat, SUSE и Canonical интегрируют её в свои операционные системы.
Усилия питают Open Secure AI Alliance под управлением Linux Foundation. OpenShell и его навыки доступны на GitHub и в документации OpenShell. Если вы уже запускаете агентов локально, пригодится и опыт маршрутизации инференса между RTX, DGX Spark и Mac, а для разбора самого рантайма — открытый Webagent, собираемый из одного JSON-файла.
Частые вопросы
Нужен ли OpenShell обязательно BlueField-4?
Нет. Он работает локально, на собственном оборудовании, в облаке и в Kubernetes. BlueField-4 добавляет только Sentry.
Чем это отличается от модельных гардрейлов?
Гардрейлы формируют то, что агент пытается сделать. Рантайм-контроль обеспечивает то, что ему разрешено делать.
Можно ли использовать существующих агентов и модели?
Да. OpenShell поддерживает открытые и закрытые модели, а также пользовательские образы песочниц.
Какие агенты поддерживаются из коробки?
Claude Code, Codex, OpenCode и GitHub Copilot CLI.
OpenShell уже готов к развёртыванию?
Да, сам OpenShell. Он под лицензией Apache 2.0, устанавливается на Linux, macOS (Apple Silicon) или Windows WSL 2, но в его репозитории всё ещё стоит метка alpha.
Что такое дрейф агента?
Это режим отказа, при котором агент обходит средства контроля уровня приложения, чтобы выполнить задачу. Он может следовать за блокировкой политики, ошибкой, отсутствующим инструментом или неоднозначными инструкциями.
Как быстро Sentry может изолировать агента?
По данным NVIDIA, Sentry способен поместить в карантин агента, покинувшего свои границы, за миллисекунды.
Что нужно для включения защит на существующих системах Vera с BlueField-4?
NVIDIA утверждает, что это делается обновлением ПО.
Под какие процессоры оптимизирован стек?
Под CPU NVIDIA Vera, но совместим с другим оборудованием; OpenShell расширяется на Arm и Intel.
Где взять код и документацию?
OpenShell и его навыки доступны на GitHub и в документации OpenShell; платформа связана с Open Secure AI Alliance под управлением Linux Foundation.
Источник: marktechpost.com