NVIDIA представила архитектуру OpenShell для безопасных ИИ-агентов

21 октября на GTC Berlin NVIDIA представила OpenShell Reference Architecture — архитектуру для запуска ИИ-агентов с изоляцией, наблюдением и принудительным выполнением правил доступа. Компания объединяет среду OpenShell, вычислительные платформы Vera Rubin и Vera, а также отдельный слой контроля Sentry на BlueField-4.

Сам OpenShell и платформа безопасности агентов появились раньше. Сегодняшний повод — новая комплексная архитектура и её интеграции, а не первый выпуск песочницы. Анонс интересен разработчикам переходом от указаний модели «не делай этого» к ограничениям, которые применяются вне её собственного процесса.

Как распределены роли в архитектуре

Песочница — изолированное окружение, где программа получает только предусмотренный доступ к ресурсам. Для агента это особенно важно: он не просто отвечает текстом, а может запускать код, работать с файлами и обращаться к сервисам. Ошибка в таком действии влияет уже на внешнюю систему.

В техническом описании NVIDIA выделяет шлюз управления, изолированную среду, отдельный компонент проверки исходящих запросов и механизм проверки изменений политик. Политика — набор правил о допустимых операциях. Она определяет, к каким ресурсам агент может обращаться, а не только какую формулировку ответа ему желательно использовать.

Что делает OpenShell

В официальном репозитории OpenShell описан как среда выполнения автономных агентов с изоляцией и контролем доступа. Среди механизмов — ограничения файловых операций, системных вызовов и сетевых соединений. Реальные учётные данные добавляются к разрешённым запросам отдельно, вместо того чтобы выдавать агенту свободный доступ к секрету.

Ещё один элемент — формальная проверка изменений политик до их применения. Она помогает обнаружить, что новая настройка расширяет доступ, например открывает другой узел или метод API. Однако проверка разрешений не равна доказательству правильности любого бизнес-решения агента.

Для владельца сайта разница понятна на примере магазина. Прочитать статус заказа, подготовить ответ клиенту и вернуть деньги — три разные операции. Даже если агенту нужен доступ к заказам, это не повод автоматически разрешать весь интерфейс административной панели.

Зачем Sentry вынесен за пределы агента

NVIDIA Sentry — программный механизм безопасности на базе DOCA, который работает на DPU BlueField-4. DPU — специализированный процессор обработки данных. В этой архитектуре он предоставляет отдельную аппаратно изолированную область, из которой можно наблюдать за агентом и применять правила независимо от программ на основном узле.

Идея состоит в том, чтобы агент не управлял собственным ограничителем. NVIDIA описывает контроль сетевой активности и контекста выполнения, а также возможность изолировать нарушителя политики. Заявления о скорости реакции относятся к характеристикам производителя; мы не проводили независимый тест времени блокировки.

Внешний контроль не должен опираться только на отчёт самого агента о том, что он сделал. Если проверяемая программа может изменить или отключить механизм проверки, граница защиты становится слабее. Поэтому в описании отдельно подчёркивается разделение среды выполнения и надзора.

Что доступно сейчас и где нужны оговорки

NVIDIA сообщает, что OpenShell Reference Architecture доступна с сегодняшнего дня. В анонсе названы серверная инфраструктура, облачные платформы и периферийные системы, включая RTX Spark, DGX Spark и DGX Station. Это не означает одинаковую аппаратную конфигурацию и одинаковый набор защит на каждом компьютере.

Программный OpenShell и полный комплект с Sentry на BlueField-4 — разные уровни внедрения. Для знакомства со средой выполнения не следует автоматически закладывать покупку всей серверной платформы. Совместимость, требуемые компоненты и уровень защиты нужно сверять с документацией выбранного варианта.

Среди компаний, работающих над поддержкой архитектуры, указаны Cisco, CrowdStrike, HPE и другие поставщики. Формулировки «интегрирует», «планирует» и «доступно» нельзя смешивать: включение компании в список партнёров не доказывает, что все её функции уже поставляются каждому заказчику.

Почему одного системного промпта недостаточно

Инструкция модели помогает задать цель и поведение, но не заменяет ограничения программы. Внешняя страница, письмо или файл могут содержать текст, который пытается изменить действия агента. Даже без такой попытки модель может неверно выбрать инструмент или передать неподходящие параметры.

Поэтому разрешения должны проверяться в коде сервиса и в среде выполнения. Если функция предназначена для чтения одного заказа, она не должна принимать произвольный SQL или путь к файлу. Сам механизм обращения к функциям разобран в статье о tool calling.

Эта новость не означает, что OpenShell автоматически предотвращает все ошибки и атаки. Он предоставляет инфраструктурные границы. Правильный выбор разрешений, проверка аргументов и подтверждение существенных действий остаются частью разработки приложения.

Что взять из анонса небольшой команде

Дальше — практический вывод для собственных проектов, а не обещание функции NVIDIA. Перед запуском помощника полезно описать его полномочия так же конкретно, как интерфейс обычного программного сервиса:

• Какие каталоги и документы ему разрешено читать?
• Какие сетевые адреса действительно нужны для задачи?
• Какие операции только готовятся, а какие применяются после подтверждения?
• Где хранятся секреты и кто добавляет их к разрешённому запросу?
• Как остановить задачу и восстановить последовательность действий по журналу?

Для первого испытания лучше взять копию проекта и тестовые данные. Проверить нужно не только успешный сценарий, но и запрет: попытку прочитать лишний файл, обратиться к неразрешённому адресу или выполнить изменение без подтверждения. Наличие красивого журнала само по себе не доказывает, что операция действительно была заблокирована.

Подобные границы важны и для облачных агентов. Мы уже разбирали разделение фоновой задачи, песочницы и внешних инструментов в новости о Managed Agents в Gemini API. Сегодняшний анонс NVIDIA развивает тему контроля на уровне вычислительной инфраструктуры.

Смысл OpenShell Reference Architecture — отделить возможности агента от права распоряжаться окружающей системой. Модель может предлагать и выполнять полезные действия, а разрешения должны обеспечиваться независимыми механизмами. Эффективность конкретного внедрения определяется конфигурацией и проверками, а не одним названием платформы.