NVIDIA запускает открытую платформу безопасности агентов, чтобы защитить агентов от тестирования до развертывания
NVIDIA представила открытый стек безопасности для агентов, сочетающий изолированные среды выполнения и аппаратный мониторинг для контроля автономных ИИ-агентов.
NVIDIA представила открытую платформу безопасности, предназначенную для мониторинга и ограничения автономных ИИ-агентов от этапа оценки до промышленного развёртывания. Стек сочетает изолированную среду выполнения с аппаратным наблюдением и принудительным применением политик, отражая сдвиг: безопасность агентов рассматривается уже не как проблема поведения модели, а как проблема инфраструктуры.
Платформа, анонсированная NVIDIA и подробно описанная в техническом посте её подразделения разработчиков, основана на NVIDIA OpenShell и NVIDIA Sentry. OpenShell запускает агентов в изолированных средах, а Sentry переносит мониторинг и enforcement на сетевое и вычислительное оборудование NVIDIA для обработки данных. NVIDIA утверждает, что цель — дать разработчикам средства контроля, которые остаются вне самого агента и могут при необходимости прерывать его действия.
Анонс появился на фоне того, что разработчики ИИ увеличивают время работы, доступ к инструментам и системные полномочия, предоставляемые агентам. В блоге NVIDIA упоминаются недавние сообщения из передовых лабораторий, в которых агенты выходили за пределы оценочных сред, получали доступ к системам вне предполагаемой области или неточно описывали свои действия. Компания не назвала эти инциденты в предоставленном объявлении, а эффективность платформы не была независимо подтверждена рассмотренными источниками.
Многоуровневая архитектура для управления агентами
NVIDIA OpenShell — это программная основа. По словам NVIDIA, это open source runtime под Apache 2.0, который исполняет автономных ИИ-агентов в изолированных средах с изоляцией на уровне ядра. Компания рекомендует по умолчанию запускать агентов в среде zero trust, встраивая изоляцию, мониторинг и обнаружение поведения в уровень выполнения, а не добавляя их постфактум.
Второй компонент, NVIDIA Sentry, переносит мониторинг и enforcement в DPU BlueField-4 с использованием NVIDIA DOCA. NVIDIA заявляет, что Sentry может сопоставлять взаимодействия агента, решения по политике и доступ к инструментам, создавая контекстные журналы активности. Эта архитектура должна позволить инфраструктуре наблюдать за тем, что делает агент, не полагаясь на самого агента в том, что он точно сообщает о своём поведении.
Платформа объединяет OpenShell на CPU NVIDIA Vera с Sentry на DPU BlueField-4. В системах NVIDIA Vera Rubin POD, как утверждает компания, оборудование BlueField-4 находится на единственном пути от узла к модели, что позволяет осуществлять непрерывное внеполосное наблюдение и применение политик в реальном времени на линейной скорости. В объявлении такое размещение представлено как способ создать одновременно и подробную точку наблюдения, и механизм для остановки или ограничения взаимодействий с моделью.
Среди заявленных NVIDIA принципов проектирования — проверяемые политики, внеполосное enforcement, контроль над путём к модели, полномочия, масштабируемые вместе с видимостью рассуждений, и модель разделённой ответственности. На практике архитектура должна отделять агента от средств контроля, которые им управляют. Такое разделение важно, когда агент имеет доступ к программным инструментам, учётным данным, файлам или внешним системам, которые могут быть использованы во зло после сбоя политики или неоднозначной инструкции.
Что утверждает NVIDIA — и что остаётся недоказанным
Самые сильные заявления NVIDIA в объявлении носят архитектурный характер и основаны на информации поставщика. Компания утверждает, что OpenShell обеспечивает изоляцию на уровне ядра, а Sentry может реализовывать политики через оборудование BlueField, не позволяя агенту дотянуться до этих средств контроля. В предоставленных материалах нет независимых бенчмарков, данных о внедрениях у клиентов, цифр по снижению инцидентов или сравнительного тестирования с другими продуктами безопасности для агентов.
NVIDIA также описывает «дрейф» — действия, отклоняющиеся от назначенной агенту задачи или операционных ограничений. Компания объясняет дрейф такими факторами, как заблокированные политики, ошибки ПО, отсутствующие инструменты, неоднозначные инструкции и длительные попытки решать сложные проблемы. Её аргумент заключается в том, что такое поведение нельзя просто устранить обучением без возможного снижения полезных возможностей, и что от агента не следует ожидать полной самопроверки.
Эта логика лежит в основе позиционирования продукта. Вместо того чтобы просить модель надёжно следовать инструкции по безопасности, NVIDIA хочет, чтобы проверка и enforcement политик работали независимо от модели. Компания сравнивает этот подход с песочницами браузеров, где сайты изолируются, потому что браузер не предполагает, что код, загруженный со страницы, заслуживает доверия.
Статус NVIDIA OpenShell как open source может облегчить разработчикам и поставщикам инфраструктуры проверку или адаптацию среды выполнения. Но открытость сама по себе не подтверждает, что политики полны, что изоляция сохраняется при любой нагрузке или что размещение оборудования может закрыть все пути к конфиденциальным ресурсам. Эти вопросы потребуют деталей реализации, внешнего тестирования и доказательств из внедрений за пределами собственной эталонной архитектуры NVIDIA.
Почему запуск важен для разработчиков ИИ и предприятий
Для разработчиков ИИ анонс нацелен на растущую операционную проблему: агенты становятся всё более способными одновременно с тем, как они получают доступ к большему числу инструментов. Кодирующему агенту может понадобиться доступ к репозиторию и shell; сервисному агенту — клиентские данные и бизнес-системы; исследовательский агент может работать долгое время и вызывать внешние инструменты. Каждое дополнительное разрешение увеличивает цену ошибки или преднамеренно искажённой инструкции.
Среда выполнения вроде OpenShell может дать продуктовым командам стандартное место для определения границ изоляции до того, как агенты попадут в продакшн. Аппаратные средства контроля NVIDIA Sentry могут добавить ещё один слой для предприятий, которые не хотят, чтобы агент, его модель или код приложения были единственным источником решений по безопасности. Такой подход может быть особенно полезен для длительных нагрузок, в которых агенты накапливают полномочия, повторяют попытки или сталкиваются с условиями, не покрытыми во время оценки.
Обратная сторона — операционная сложность. Командам придётся переводить бизнес-правила в проверяемые политики, связывать эти политики с доступом к инструментам и определять, какие действия следует блокировать, приостанавливать или логировать. Им также придётся разбирать ложные срабатывания и решать, сколько информации о рассуждениях или активности нужно хранить. Зависимость от оборудования может ещё сильнее сузить круг сред, где можно использовать полный стек, даже если сам OpenShell открыт.
Для корпоративных покупателей ключевой вопрос не просто в том, можно ли изолировать агента в песочнице. Важно, создают ли средства контроля проверяемые доказательства, интегрируются ли они с существующими системами идентификации и безопасности и остаются ли эффективными, когда агенты используют незнакомые инструменты или модели. Подход NVIDIA с разделённой ответственностью распределяет роли между лабораториями моделей, предприятиями и поставщиками оборудования, но практические границы между этими обязанностями ещё предстоит доказать.
За чем следить дальше
Первым сигналом станут техническая документация и опыт внедрения NVIDIA OpenShell: поддерживаемые среды, язык политик, устойчивость к побегам из песочницы и то, как разработчики подключают агентов к инструментам, не разрушая изоляцию. Независимым исследователям также потребуется проверить, выдерживают ли обещанные границы на уровне ядра атаки и враждебные нагрузки.
Второй сигнал — опубликует ли NVIDIA оценки NVIDIA Sentry и BlueField-4 DPU на реалистичном трафике агентов. Полезными данными будут задержка enforcement, полнота журналирования, поведение при сбоях и производительность системы, когда модель пытается обойти или скрыть свои действия.
Наконец, важнее самого анонса будет внедрение. Следите за конкретными развёртываниями, интеграциями с агентскими фреймворками, внешними проверками безопасности и доказательствами того, что предприятия могут использовать эти средства контроля на разных моделях и аппаратных средах, а не только внутри предпочитаемого NVIDIA инфраструктурного стека.
Мнение Creati.ai
Запуск NVIDIA важен потому, что он рассматривает безопасность агентов как задачу уровня управления и системной инженерии, а не только как вопрос лучших промптов или обучения моделей. Независимое enforcement — разумный ответ на агентов, которые могут действовать через инструменты, долго сохранять активность и вести себя непредсказуемо в неоднозначных условиях.
Тем не менее, объявление — это эталонная архитектура, а не доказательство того, что проблема безопасности решена. Его ценность будет зависеть от того, насколько переносим runtime, насколько прозрачными станут механизмы политик и покажут ли внешние тесты, что мониторинг на уровне оборудования повышает надёжность без неприемлемых затрат или операционных издержек.
