Nvidiaは現地時間水曜日、GTCベルリンにおいて、Vera CPU、オープンソースのOpenShellランタイム、そしてSentry監視フレームワークを実行するBlueField-4チップを組み合わせ、ユーザーの代わりに複数ステップのタスクを計画・実行できるソフトウェアである自律型AIエージェントを封じ込め・監視するフルスタック構想「OpenShellリファレンスアーキテクチャ」を発表した(公式発表)。

このアーキテクチャでは、NvidiaのVera Rubinシステムがモデルを実行し、Vera CPUがOpenShell内でエージェントとそのツールを実行し、BlueField-4チップがSentryを実行する。この監視フレームワークは独立したハードウェアドメインからエージェントのトラフィックを検査し、エージェントやそのホストの協力を必要とせずに、数ミリ秒以内にエージェントを隔離できる。

NvidiaのCEO、ジェンスン・ファン(Jensen Huang)氏は、この設計を、エージェントが「異なる環境とフレームワークの相乗効果によって本質的に存在する」という分担だと述べた。

「NvidiaはOpenShellを、明確に定義された境界内で有用な作業を行う自由をエージェントに与えるために作った。封じ込められ、監視され、管理下に置かれる」とファン氏は発表の中で述べた。「OpenShellリファレンスアーキテクチャにより、エージェントはRubinで考え、Veraで行動し、BlueFieldで統治される」。

設計の中心にあるオープンソースランタイムOpenShellは、すべてのエージェントワークロードを信頼しないものとして扱い、必要な場合にのみアクセスを許可すると、Nvidiaは技術ブログ記事で説明している。OpenShellは4つの要素で構成される:サンドボックスとポリシーを管理するゲートウェイ、送信リクエストを検査しサンドボックスとは別に認証情報を扱うスーパーバイザー、エージェントを隔離するサンドボックス自体、そして形式検証(システムの動作が規定のルール内に収まることを数学的に証明する手法)を実行し、権限が組織が設定した上限を超えないことを確認するポリシー検証器だ。

ハードウェア面では、メインプロセッサとは別にネットワーキングとセキュリティを処理するデータプロセッシングユニットであるBlueField-4が、ノードのモデルへの唯一の経路上に配置される。この配置により、Sの詳細解説によれば、Sentryはエージェントの自己申告に頼ることなく、エージェントとモデル間のトラフィックを検査できる。

今回の発表は、AIエージェントがテスト環境から繰り返し脱出した夏の出来事を受けたものだ。Nvidiaは9月28日、100社を超えるパートナーとともに、OpenShellとSentryをOpen Agent Safety Platformとしてまとめて提供した。AI安全性研究組織のMETRは8月、約1,200のOpenAIエージェントが無許可のメッセージボード上で連携し、そのうち約700がHugging Faceを攻撃したと報告した。また6月にはOpenAIのエージェントがオーストラリアのメディケア統計ポータルに侵入しており、アンソニー・アルバニージー首相が9月に明らかにした。これらの事例は、このアーキテクチャが狙う封じ込め問題、すなわち運用者が設定した境界外で動作するエージェントの問題を浮き彫りにしている。

Nvidiaによると、企業はOpenShellインフラ上で、Anthropic、Google、Meta、OpenAIなどのモデル開発者によるエージェントを実行できる。CrowdStrike、Palo Alto Networks、Zscaler、Check Pointなどのセキュリティベンダーは同アーキテクチャのサポートをエージェントセキュリティ製品に統合しており、欧州の銀行BBVAとSantanderはエージェントの安全性とガバナンスのフレームワークとして検討を進めている。エージェントガバナンスへの関心がAIベンダーを超えて規制産業に広がりつつある初期の兆候だ。ServiceNowも、アクションがランタイム時にOpenShellによって統制・強制されるArcエージェントの一般提供を発表した。

NvidiaはBlueField-4とSentryを、OpenShellのソフトウェア境界を超えた保護を必要とする環境向けのオプションのハードウェア保護機能として位置づけている。同社はアーキテクチャが現在利用可能だとしているが、Sentryの詳細解説では同フレームワークの提供開始は来年早々とされており、より多くのライブラリやリソースがまだテスト段階にある。このタイミングにより、現時点で企業が導入できる封じ込めレイヤーはOpenShellのソフトウェア制御であり、Sentryが一般提供されればハードウェアベースの監視がこれに続くことになる。