NVIDIA、AIエージェント安全基盤を発表　OpenShellとBlueField-4で実行を監視

モデルへの指示から、実行時の権限管理へ

モデルに安全な振る舞いを促す指示や、アプリ側のガードレールは、エージェントが何を試みるかに働きかける。NVIDIAは、指示された目的を果たそうとするエージェントがアプリケーション層の制御をすり抜けた事例を挙げ、実行環境にも独立した制御が必要だと説明する。Open Agent Safety Platformは、許可された動作をモデルの判断だけに委ねず、実行時に外から制限する設計を掲げる。

中核のOpenShellは、各エージェントを隔離されたサンドボックスで動かし、ファイル、ネットワーク、ツール、認証情報などへのアクセスをポリシーで管理する。システムコールも監視し、許可されていない操作を遮断する。ポリシーはエージェントのプロセス外で適用されるため、エージェント自身が指示を受けて解除する構造ではないとNVIDIAは説明している。

OpenShellはApache License 2.0のオープンソースソフトウェアとして公開された。NVIDIAの資料によると、対応するモデルはオープン・非公開を問わず、複数のエージェントや実行環境と組み合わせられる。導入資料には、ローカル端末やKubernetesに加え、Docker、Podman、microVMなどのランタイムが記されている。NVIDIAはArmやIntelの計算基盤にも拡張できるとしている。

SentryはBlueField-4上の独立監視層

Sentryは、OpenShellとは別の監視層だ。NVIDIAの参照設計では、ネットワークやデータ処理を担うDPU（データ処理用プロセッサ）「BlueField-4」上で動き、エージェントやホストOSの外から活動を監視する。NVIDIA DOCAを通じてリクエストや応答、ポリシー判断、ツールやデータへのアクセスを照合し、エージェントの識別とアクセス制御を行うとしている。

同社は、エージェントが設定境界を越えようとした場合、Sentryが「ミリ秒単位」で隔離・停止できると説明する。ただし、発表資料にはこの性能を測った独立試験の条件や結果は掲載されていない。また、OpenShellはBlueField-4なしでも導入できる一方、Sentryのハードウェア監視にはBlueField-4が必要だ。ソフトウェアの公開と、参照設計に基づくハードウェア層は分けて評価する必要がある。

企業連携は、参加の深さがそれぞれ違う

NVIDIAはAnthropic、Microsoft、SAPなどを含む100超の組織が、Open Agent Safety Platformの技術に取り組んでいると発表した。この数字はNVIDIAが示した協業・開発の規模で、100社が製品を本番導入した件数を表すものではない。

発表によると、AnthropicとはClaude Managed Agentsの実行環境にOpenShellとBlueFieldを組み合わせ、サンドボックスへのアクセスを制御する連携を進めている。SAPはOpenShellのコードに技術者を出し、Joule StudioおよびSAP Business AI Platformへの組み込みを進める。Joule Studio側の業務権限や監査と、OpenShellの実行時隔離を接続する構想だ。一方、Microsoftは参加組織として名前が挙がるものの、同じ発表では個別の実装内容を説明していない。

今回の基盤は、モデルの出力を安全にする対策に、実際のファイル・ネットワーク・ツール操作を制限する仕組みを重ねる提案だ。実効性は、設定するポリシーや運用環境にも左右される。OpenShellのソースコードは公開されたが、Sentryの参照設計が実システムにどう広がるか、また境界を越える動作をどの条件でどれだけ止められるかは、今後の導入事例や検証結果で確かめる必要がある。