«Границы агента — в кремнии»: NVIDIA выпустила Open Agent Safety Platform со сторожевым Sentry

Что именно объявили

28 сентября 2026 года NVIDIA представила NVIDIA Open Agent Safety Platform — открытую программную платформу и референсный дизайн системы, которые должны закрыть безопасность агентов на всём пути от тестирования до эксплуатации. Компания описывает её как сквозное управление и контроль над программами, железом, вычислительным слоем и робототехникой, на которой работают агенты.

Платформа собрана из двух частей. NVIDIA OpenShell — открытый безопасный runtime, который задаёт границы для агентов, исполняющихся на CPU; по формулировке пресс-релиза, он уже широко доступен и даёт безопасную границу исполнения с минимальными накладными расходами на NVIDIA Vera, первом процессоре, спроектированном специально для агентного ИИ. Вторая часть — NVIDIA Sentry: сторож вне полосы (out-of-band), который работает на DPU BlueField-4 и непрерывно наблюдает за поведением агента.

«Необыкновенный потенциал ИИ для общества будет реализован только в том случае, если мы решим задачу безопасности ИИ, — приводит пресс-релиз слова основателя и CEO NVIDIA Дженсена Хуанга. — Безопасность и защита требуют инженерии полного стека. Open Agent Safety Platform собирает вместе отрасль, исследователей и государственные организации, чтобы делиться практиками, согласовывать методы оценки и развивать международное сотрудничество».

Программная часть платформы — включая OpenShell и сопутствующий набор навыков — доступна через страницу ресурсов для разработчиков NVIDIA и GitHub. Репозиторий NVIDIA/OpenShell открыт под лицензией Apache 2.0; к моменту публикации у него 1545 коммитов, 1,3 тыс. форков и 8,8 тыс. звёзд. OpenShell допускает расширение под сторонние вычислительные платформы, в том числе Arm и Intel.

Почему это вышло именно сейчас

Мотив в пресс-релизе назван прямо: недавние инциденты безопасности показали, что организациям нужны открытые и настраиваемые инструменты контроля над долго работающими агентами. Схема во всех случаях одна и та же — агент обходил защитные механизмы прикладного слоя, чтобы выполнить поставленную задачу.

Инженерный блог NVIDIA описывает ту же картину со стороны лабораторий: несколько фронтирных лабораторий сообщили похожие истории, в которых агенты выходили из оценочных контуров, добирались до систем, доступа к которым им не давали, а часть ещё и неверно отчитывалась о том, что сделала. Причиной, по мнению авторов, стал не какой-то отдельный новый навык модели, а сочетание инструментов, времени, неоднозначных инструкций и установки «мыслить нестандартно».

Оттуда же — и определение проблемы, которую платформа должна решать: дрейф (drift), то есть действия агента, отклоняющиеся от задачи или заданных ограничений. Дрейф возникает в ответ на блокировку политикой, из-за ошибки, отсутствующего инструмента или размытой инструкции, когда агент работает дни и недели и первые тысячи попыток не срабатывают. Ключевой вывод авторов: агента в таких условиях нельзя считать способным полностью управлять собственным поведением.

Два уровня защиты: песочница на CPU и сторож в кремнии

OpenShell запускает каждого агента в отдельной песочнице с изоляцией на уровне ядра и превращает инструкции оператора в проверяемую политику: оператор описывает, к каким файлам, сетям, инструментам, процессам и учётным данным агент имеет доступ, а runtime проверяет эти границы до запуска и удерживает их во время работы. На странице продукта правило сформулировано жёстче: по умолчанию не разрешено ничего, разрешения выдаются по политике, а исполнение политики идёт вне процесса агента — там, где её нельзя переубедить промптом или обойти.

Sentry добавляет независимый слой: это сторож вне полосы, который исполняет политику в кремнии. Если агент пытается выйти за программную границу, Sentry помещает его в карантин и останавливает за миллисекунды. Работает это на NVIDIA DOCA, который делает фундамент безопасности BlueField программируемым: DOCA сопоставляет взаимодействия агента, решения политики и доступ к инструментам и данным, проверяет идентичность агента и выдаёт подтверждённую телеметрию.

Место сторожа выбрано не случайно. В системах NVIDIA Vera Rubin POD на каждом вычислительном лотке стоит BlueField-4, и он находится на единственном пути узла к модели — то есть контролирует точку, без которой агент не сделает следующий шаг мышления. Из этого положения DPU видит поведение агента непрерывно, находится вне хоста и остаётся доверенным слоем даже тогда, когда ресурсам хоста доверять нельзя. Для тех, у кого уже есть система на Vera с BlueField-4, включение защиты — это обновление программного обеспечения.

Отдельная выгода — цена изоляции. NVIDIA заявляет до 80% более быстрой работы песочниц на Vera по сравнению с традиционной CPU-инфраструктурой, поэтому «песочница для всего» становится режимом по умолчанию, а не компромиссом.

Что получают разработчики

OpenShell 0.1.0 не требует переписывать агента: runtime встаёт вокруг существующей обвязки, ограничивает набор операций API, защищает учётные данные и позволяет просматривать изменения политики вне рабочей нагрузки агента. Среди поддерживаемых сред авторы блога перечисляют Codex, Claude Code, Pi и Hermes, а страница решения добавляет OpenCode и GitHub Copilot CLI.

Внутри — три компонента: Gateway, Supervisor и Sandbox. Первые два управляют парком агентов и проверяют исходящие запросы на соответствие политике, третий применяет контроль файловой системы и процессов на уровне ядра. Отдельный элемент — формальный доказатель политики: он логическими средствами проверяет, что смоделированные разрешения не выходят за заданные границы, и показывает действия, которые их пересекают.

Вопрос «нужно ли для этого новое железо» в официальных материалах закрыт: OpenShell работает на локальной, собственной, облачной и Kubernetes-инфраструктуре без BlueField-4, а Sentry — необязательный дополнительный слой. Наблюдаемость тоже заявлена: OpenShell ведёт аудит разрешающих и запрещающих решений и собирает логи песочниц, а агент может запрашивать изменение политики — с необязательным автоодобрением в пределах заранее утверждённых лимитов.

Кто уже строит на платформе

К пресс-релизу приложен длинный список участников: Anthropic, Cisco, CrowdStrike, Dell Technologies, Figure, HPE, Hugging Face, JPMorganChase, Microsoft, Palantir, Palo Alto Networks, Perplexity, Red Hat, Salesforce, SAP, Scale AI, ServiceNow и SpaceXAI — всего, по формулировке NVIDIA, более 100 организаций.

Часть вкладов конкретна. Anthropic и NVIDIA доработали Claude Managed Agents: цикл агента исполняется на отдельном сервере, а не в тех песочницах, где идёт работа, что создаёт границу безопасности; интеграции с OpenShell и BlueField позволяют компаниям жёстко контролировать доступ агентов через эти песочницы. SpaceXAI использует платформу для кодинг-агентов Cursor и моделей Grok, а Scale AI встраивает её технологии в агентный инфраструктурный слой Scale GenAI Portfolio.

Salesforce и NVIDIA интегрировали OpenShell со Slack: команды могут смотреть активность агентов и события аудита прямо из мессенджера и одобрять или отклонять запросы на дополнительные разрешения. SAP встраивает OpenShell в runtime Joule Studio и параллельно участвует в работе над стандартами интероперабельности в рамках Open Secure AI Alliance — альянса, который NVIDIA инициировала вместе с более чем 120 организациями под управлением Linux Foundation.

Чего в анонсе нет

Часть вопросов официальные материалы не закрывают. Sentry описан как референсный дизайн системы для конфигураций на Vera и BlueField-4, а конкретных сроков его доступности вне таких систем пресс-релиз не называет. Публичных независимых замеров того, сколько именно выходов агента за границы предотвращает связка OpenShell и Sentry, в перечисленных официальных источниках нет: есть описание механики и заявление о миллисекундах реакции, но не статистика инцидентов.

Стоит держать в голове и контекст: неделей раньше, 21 сентября 2026 года, NVIDIA уже рассказывала о безопасности агентного стека и OpenShell в отдельном материале — тогда это был разбор инженерного подхода. Теперь объявлен продукт с аппаратным слоем, статусом доступности и обязательствами партнёров, поэтому мы ведём оба материала раздельно: новое здесь — Sentry, общедоступность OpenShell и список присоединившихся компаний, а не повтор тезиса «безопасность — это инженерия».