NVIDIAは2026年9月28日、コードを実行したり外部サービスを呼び出したりするAIエージェントを制御する仕組みとして、Open Agent Safety Platformを発表した。この名称は、分けて利用できる2つの要素を指す。OpenShellは、エージェントにアクセス方針を適用する公開のオープンソース・ランタイムだ。Sentryは、BlueField-4データ処理ユニット上で監視と制御を追加するためのリファレンス設計である。NVIDIAのプラットフォームFAQによると、チームはBlueFieldハードウェアなしでもOpenShellを利用できる。

OpenShellのコード、ドキュメント、リリースパッケージは公開されている。NVIDIAはSentryによりエージェントを数ミリ秒で隔離できると説明しているが、発表には独立した測定結果も、その結果を読者が検証できる公開のSentry構築手順も示されていない。

大きな変化

NVIDIAは、エージェントのプロセス外で宣言済みの権限を適用するソフトウェア・ランタイムと、リファレンス設計において別の信頼領域からエージェントを監視する任意のハードウェア層を組み合わせている。ソフトウェアは、エージェントがシェルや生成コードを実行していても、ファイルアクセス、プロセス権限、外向きのリクエストを制限できる。ハードウェア層は、エージェントを実行するホストから分離した状態で監視とポリシー適用を続けることを意図している。ポリシーが適切に設定されていれば、これはモデルへの指示だけに頼るより具体的な境界を運用者に与える。ただし、組み合わせたシステムがあらゆる危険な動作を防ぐことを実証したわけではない。

OpenShellが制御するもの

NVIDIAのOpenShell 0.1.0 技術解説では、サンドボックスとポリシーを管理するゲートウェイ、各エージェントのワークロード外で外向きのリクエストを検査するスーパーバイザー、ファイルとプロセスをカーネルレベルで制御するサンドボックスが説明されている。ネットワーク通信はスーパーバイザーを経由する。設定したHTTP、GraphQL、Model Context Protocol（MCP）の通信では、同じサービスへの読み取りを許可し、書き込みを遮断するといった区別をポリシーで設定できる。NVIDIAによると、判定はOCSF監査ログに記録できる。

ポリシーはYAMLで記述する。解説にあるデモでは、まず外部ネットワーク接続を一切許可しないサンドボックスを作り、その後、curlを使ったGitHub REST APIからの読み取りを許可し、POSTは遮断する。これはベンダーが文書化した手順であり、BIG CHANGEによるテストではない。NVIDIAは、エージェントが追加のアクセス権を提案できるポリシー・アドバイザーも説明している。初期設定では人間の承認が必要で、エージェントが自分の提案を承認することはできない。サンドボックスの稼働中にネットワーク・ポリシーは変更できるが、ファイルシステムやプロセスの制限を変えるには新しいサンドボックスが必要だ。

解説によると、ポリシー検証器はモデル化された権限を運用者が定めた境界と照合し、その境界を越える動作を示せる。結果はポリシーのモデルと選ばれた境界に左右され、エージェント自体の安全性を証明するものではない。NVIDIAは、エージェントが保護対象のリポジトリへの書き込み許可を求める敵対的な実験を報告している。これらは同社が報告した結果であり、プラットフォーム全体の実環境での性能を測定したものではない。

Sentryが追加するもの

NVIDIAは、SentryをBlueField-4 DPU上で動く任意の監視機構と説明している。リファレンス設計では、NVIDIAのDOCAソフトウェアが独立したハードウェア領域をOpenShellのポリシーに接続し、エージェントとのやり取り、ポリシー判定、ツールやデータへのアクセスを相関付ける。NVIDIAは、この配置により、ホストのソフトウェアが侵害された場合でも本人確認、検知、介入を支援できるとしている。同社が発表したリリースにある「数ミリ秒で隔離できる」という主張には、ここで確認した情報源の範囲では、公開された試験方法も独立した測定結果も示されていない。

製品ページには、OpenShellはBlueField-4なしで、対応するローカル、オンプレミス、クラウド、Kubernetes環境で動作すると明記されている。BlueField-4が関係するのは追加のSentry設計だ。NVIDIAは、自社プラットフォーム技術に取り組む組織が100社を超えるとし、異なる段階の統合や協業を挙げている。参加しているからといって、Sentryがそれらの組織全体に導入されたことや、制御機能がインシデントを防いだことを示すわけではない。

チームが評価する際の利用条件と制約

公式のOpenShellリポジトリはApache 2.0ライセンスで公開されている。NVIDIAの9月28日の解説はバージョン0.1.0を対象としている一方、確認時点のリリースページには9月28日付でv0.1.2が掲載されていた。チームはバージョンを固定し、それに対応するドキュメントを使う必要がある。インストールガイドでは、CLIとローカル・ゲートウェイの導入、対応ランタイムの選択方法を説明している。サポート・マトリックスにはDocker、Podman、Kubernetes、MicroVM各ランタイムとホスト要件が記載され、Docker Desktopを使うWSL 2は実験的とされている。AIエージェントの実行には、モデル提供元の認証情報も必要になる場合がある。

ここで確認した情報源には、公開済みのOpenShellライセンス料は記載されていない。ただし、計算資源、モデルAPI、エンタープライズ環境への導入には費用がかかることがある。確認したNVIDIA資料には、Sentryの価格、BlueField-4システムの価格、一般向けのSentry導入手順は示されていない。ハードウェア設計を購入可能な制御手段として評価するには、導入要件と監視範囲に加えて、こうした詳細も必要だ。

出典・参考資料