NVIDIA는 코드 실행과 외부 서비스 호출이 가능한 AI 에이전트를 통제하기 위한 방법으로 2026년 9월 28일 Open Agent Safety Platform을 발표했다. 이 이름은 분리 가능한 두 구성 요소를 가리킨다. OpenShell은 에이전트 주변에 접근 정책을 적용하는 공개 오픈소스 런타임이다. Sentry는 BlueField-4 데이터 처리 장치에서 추가 감시와 집행을 수행하기 위한 참조 설계다. NVIDIA의 플랫폼 FAQ에서는 OpenShell을 BlueField 하드웨어 없이 사용할 수 있다고 설명한다.

OpenShell의 코드, 문서, 릴리스 패키지는 공개되어 있다. NVIDIA는 Sentry가 밀리초 안에 에이전트를 격리할 수 있다고 설명하지만, 발표 자료에는 독립적인 측정 결과나 독자가 이를 검증할 수 있는 공개 Sentry 설정 절차가 없다.

가장 큰 변화

NVIDIA는 에이전트 프로세스 바깥에서 명시적으로 선언된 권한을 적용하는 소프트웨어 런타임에, 참조 설계상 별도의 신뢰 영역에서 에이전트를 감시하는 선택형 하드웨어 계층을 결합한다. 에이전트가 셸이나 생성한 코드를 실행하더라도 소프트웨어는 파일 접근, 프로세스 권한, 외부 요청을 제한할 수 있다. 하드웨어 계층은 에이전트를 실행하는 호스트와 감시 및 정책 집행을 분리하도록 설계됐다. 운영자가 정책을 올바르게 설정한다면 모델에 지시만 하는 것보다 구체적인 통제 경계를 제공한다. 그렇다고 결합 시스템이 모든 위험한 행동을 막는다는 뜻은 아니다.

OpenShell이 제어하는 것

NVIDIA의 OpenShell 0.1.0 기술 안내서에는 샌드박스와 정책을 관리하는 게이트웨이, 각 에이전트 작업 부하 바깥에서 외부 요청을 확인하는 감독자, 파일과 프로세스를 커널 수준에서 제어하는 샌드박스가 설명되어 있다. 네트워크 트래픽은 감독자를 통과한다. 설정된 HTTP, GraphQL, Model Context Protocol 트래픽에 대해 정책은 같은 서비스로 보내는 허용된 읽기와 차단된 쓰기를 구분할 수 있다. NVIDIA는 이러한 결정을 OCSF 감사 추적에 기록할 수 있다고 설명한다.

정책은 YAML로 작성한다. 안내서에 나온 시연은 외부 네트워크 접근이 차단된 샌드박스에서 시작해 curl이 GitHub REST API에서 읽을 수 있도록 허용하고 POST 요청은 차단하는 대체 정책을 적용한다. 이는 벤더가 문서화한 절차이지 BIG CHANGE가 시험한 결과는 아니다. NVIDIA는 에이전트가 추가 접근 권한을 제안할 수 있는 정책 도우미도 문서화했다. 기본 설정에서는 사람이 승인해야 하며 에이전트는 자신의 제안을 승인할 수 없다. 샌드박스 실행 중에도 네트워크 정책은 바꿀 수 있지만 파일 시스템이나 프로세스 제한을 바꾸려면 새 샌드박스를 만들어야 한다.

안내서에 따르면 정책 증명기는 모형화된 권한을 운영자가 정한 경계와 대조하고, 이를 넘는 행동을 제시할 수 있다. 결과는 정책 모형과 선택한 경계에 달려 있으며 에이전트 자체가 안전하다는 것을 증명하지는 않는다. NVIDIA는 보호된 저장소에 쓰기 권한을 얻으려는 에이전트를 대상으로 적대적 실험을 수행했다고 보고한다. 기업이 보고한 이 결과로 플랫폼 전체의 실제 환경 성능을 측정할 수는 없다.

Sentry의 추가 기능

NVIDIA는 Sentry를 BlueField-4 DPU에서 작동하는 선택형 감시 장치로 설명한다. 참조 설계에서 NVIDIA의 DOCA 소프트웨어는 별도의 하드웨어 영역을 OpenShell 정책과 연결하고, 에이전트 상호작용, 정책 결정, 도구 또는 데이터 접근을 연계한다. NVIDIA는 호스트 소프트웨어가 침해되더라도 이 위치에서 신원 확인, 탐지, 개입을 지원할 수 있다고 말한다. 밀리초 단위 격리에 관한 주장은 이 출시 발표에 담긴 벤더의 성능 주장으로, 이 기사에서 검토한 출처에는 공개된 시험 방법이나 독립적인 결과가 없다.

제품 페이지에는 OpenShell이 지원되는 로컬, 온프레미스, 클라우드, Kubernetes 인프라에서 BlueField-4 없이 실행된다고 명시되어 있다. BlueField-4는 추가 Sentry 설계에 필요한 구성 요소다. NVIDIA는 100곳이 넘는 조직이 자사 플랫폼 기술을 사용해 작업 중이라고 밝히고, 개발 단계가 서로 다른 통합 및 협업 사례를 제시한다. 참여 사실만으로 이들 조직 전반에 Sentry가 배포되었거나 해당 통제가 사고를 막았다고 볼 수는 없다.

팀이 평가할 때 알아야 할 접근 조건과 한계

공개된 OpenShell 저장소는 Apache 2.0 라이선스로 공개되어 있다. NVIDIA의 9월 28일 안내서는 0.1.0 버전을 중심으로 한다. 릴리스 페이지에는 확인 당시 9월 28일자로 v0.1.2가 올라와 있었으므로 팀은 버전을 고정하고 해당 버전에 맞는 문서를 사용해야 한다. 설치 안내서에는 CLI와 로컬 게이트웨이 설치, 지원되는 런타임 선택 방법이 설명되어 있다. 지원 매트릭스에는 호스트 요구 사항과 함께 Docker, Podman, Kubernetes, MicroVM 런타임이 나열되어 있다. Windows에서 WSL 2와 Docker Desktop을 사용하는 방식은 실험 단계로 표시되어 있다. AI 에이전트를 실행하려면 해당 모델 제공업체의 인증 정보도 필요할 수 있다.

이 출처에는 OpenShell 코드의 공개 이용료가 따로 명시되어 있지 않다. 컴퓨팅 자원, 모델 API, 기업용 배포에는 여전히 비용이 들 수 있다. 검토한 NVIDIA 자료에는 Sentry 가격, BlueField-4 시스템 가격, 공개된 Sentry 설치 경로가 나와 있지 않다. 하드웨어 설계를 구매 가능한 통제 수단으로 평가하려는 팀은 배포 요건과 감시 범위뿐 아니라 이런 세부 정보도 확인해야 한다.

출처 및 추가 읽을거리