Nvidia kombiniert Software-Isolierung und Hardware-Überwachung für KI-Agenten

Eine Plattform mit Kontrollen in zwei Ebenen

Nvidia hat am 28. September 2026 die Open Agent Safety Platform vorgestellt, ein Angebot, das Software-Werkzeuge mit einer Referenzarchitektur für Hardware kombiniert, um Kontrollen für KI-Agenten zu etablieren. Die Plattform besteht aus OpenShell, einem Open-Source-Runtime, und Sentry, einem Überwachungsmechanismus, der für die Ausführung auf den Data Processing Units (DPU) BlueField-4 konzipiert ist.

Die zentrale Idee ist, die Sicherheit außerhalb des Agenten selbst zu verlagern. OpenShell setzt Ausführungsgrenzen per Software; Sentry fügt eine unabhängige Überwachung aus der Infrastruktur hinzu. Nvidia betont, dass Organisationen Teile der Plattform nach Bedarf übernehmen können, sodass die Nutzung von OpenShell nicht zwingend den Einsatz von Sentry oder die Verfügbarkeit von BlueField-4 erfordert.

Es ist wichtig, die Ankündigung von ihrer Bewertung zu trennen: Die offizielle Dokumentation beschreibt die Architektur und die vorgesehenen Fähigkeiten, liefert aber allein keine unabhängige Vergleichsmessung, um die Wirksamkeit gegenüber anderen Kontrollen oder allen möglichen Angriffen zu messen. Die Aussage, dass Sentry in Millisekunden eingreifen kann, muss im Kontext der angekündigten Architektur verstanden werden, nicht als universelle Garantie.

OpenShell setzt Grenzen für die Handlungen des Agenten

OpenShell erstellt eine isolierte Ausführungsumgebung und wendet Richtlinien auf die Aktionen und verfügbaren Ressourcen eines Agenten an. Laut Nvidias Dokumentation können diese Kontrollen Dateien, Netzwerkverbindungen und Systemoperationen umfassen. Die Plattform sieht auch eine eingeschränkte Verwaltung des Zugriffs auf Zugangsdaten vor, sodass der Agent diese für jede Aufgabe nicht direkt erhalten muss.

Der Unterschied zu einer im Prompt verfassten Anweisung liegt in Ort und Durchsetzung. Eine Instruktion wie „Greife nicht auf diesen Ordner zu“ hängt davon ab, dass das Modell sie respektiert. Eine Kontrolle, die von der Ausführungsumgebung erzwungen wird, kann den Zugriff unabhängig von dieser Instruktion einschränken. Das fügt eine technische Barriere hinzu, deren Reichweite jedoch von der Konfiguration und den autorisierten Ressourcen abhängt.

Nvidia gibt an, dass OpenShell Open Source ist und auf Plattformen von Drittanbietern, einschließlich Arm und Intel, erweitert werden kann. Das Unternehmen präsentiert es auch als weitgehend verfügbar. Diese Verfügbarkeit der Softwarekomponente darf nicht mit der Verfügbarkeit des gesamten integrierten Systems oder der Notwendigkeit spezifischer Hardware für Sentry verwechselt werden.

Sentry fügt Überwachung von einer DPU hinzu

Sentry ist eine Referenzarchitektur, die laut Nvidia auf den BlueField-4-DPU läuft und die Aktivität der Agenten kontinuierlich aus einer getrennten Umgebung überwacht. Das Unternehmen beschreibt ihre Funktion als Inspektion von Anfragen und Antworten, Verifizierung der Agentenidentität, Generierung von Telemetrie und Anwendung von Zugriffsrichtlinien für Daten, Werkzeuge, Schnittstellen und Dienste.

Die Trennung soll sicherstellen, dass die Überwachung nicht ausschließlich von der Software abhängt, die den Agenten ausführt. Wenn eine Operation versucht, die definierten Grenzen zu überschreiten, behauptet Nvidia, dass Sentry den Agenten in Quarantäne setzen und ihn in Millisekunden stoppen kann. Dieser Satz beschreibt die angekündigte Geschwindigkeit der Intervention, nachdem ein Verstoß identifiziert wurde; er legt nicht allein fest, wie lange es dauert, eine gefährliche Aktivität zu erkennen, oder welche Signale zur Erkennung ausreichen.

In der Praxis führt Sentry zu einer anderen Anforderung als OpenShell: Seine Architektur ist an BlueField-4 gebunden. Daher darf die Möglichkeit, OpenShell auf anderen Plattformen einzusetzen, nicht automatisch auf Sentry übertragen werden. Das verfügbare Material löst auch nicht alle Bedingungen für den Einsatz, die Kompatibilität und die kommerzielle Verfügbarkeit für jede Konfiguration.

Millisekunden Isolierung bedeuten keine sofortige Erkennung

Nvidias Ankündigung schreibt Sentry die Fähigkeit zu, einen Agenten in Millisekunden in Quarantäne zu setzen, wenn er versucht, seine Grenzen zu verlassen. Allerdings sind Reaktionsgeschwindigkeit und Erkennungsgeschwindigkeit unterschiedliche Messgrößen. Um den Schutz zu bewerten, sind Daten zu beiden erforderlich: Wann wird das problematische Verhalten erkannt und wie lange dauert es, den Block ab diesem Moment anzuwenden?

Ein Agent kann gültige Zugangsdaten besitzen und eine Aktion ausführen, die technisch legitim erscheint, auch wenn das Ergebnis unangemessen ist. Er kann auch Operationen starten, bevor eine Quarantäne aktiviert wird. Daher reicht es nicht, nur die Interventionszeit zu kennen, um zu bestimmen, was vor dem Block passieren, welche Daten abgerufen oder welche Änderungen vorgenommen werden könnten.

Die Bewertung erfordert konkrete Bedingungen: verbundene Ressourcen, erteilte Berechtigungen, konfigurierte Richtlinien, Standort des Agenten und Erkennungskriterien. Ohne diese Informationen ermöglicht die Millisekunden-Angabe keinen Vergleich zwischen verschiedenen Bereitstellungen und keine Vorhersage von Ergebnissen in einer spezifischen Organisation.

Was außerhalb des Schutzes bleiben kann

Infrastruktur-Kontrollen können Aktionen einschränken, garantieren aber nicht, dass der Agent eine Aufgabe korrekt interpretiert, zuverlässige Antworten produziert oder gute Entscheidungen innerhalb des autorisierten Raums trifft. Ein Agent, der in seiner Sandbox arbeitet, kann immer noch Fehler mit Konsequenzen begehen, falsche Ergebnisse erzeugen oder legitime Berechtigungen schädlich nutzen.

Auch die Reaktion auf getäuschte Agenten oder solche, die ihre Absichten verbergen, bleibt offen. Kritische Quellen weisen darauf hin, dass eine auf Verhaltenssignalen basierende Überwachung nicht ausreichen kann, wenn der Agent so tut, als handle er legitim, oder wenn der Schaden beginnt, bevor die Quarantäne aktiviert wird. Dies beweist keine spezifische Schwachstelle von Sentry, sondern zeigt, dass die Ankündigung keine ausreichende Abdeckung dieser Szenarien demonstriert.

Die Richtlinien sind ebenfalls entscheidend. Eine zu großzügige Regel kann unerwünschte Aktionen durchlassen; eine zu strenge Regel kann legitime Aufgaben unterbrechen. Der Schutz hängt daher davon ab, die Grenzen korrekt zu definieren, sie aktuell zu halten und zu überprüfen, wie sie mit Berechtigungen, Werkzeugen und verbundenen Diensten interagieren.

Welche Tests zur Beurteilung der Wirksamkeit fehlen

Die offizielle Dokumentation erklärt Komponenten, Zweck und Architektur und weist darauf hin, dass OpenShell als Open-Source-Software verfügbar ist. Dies ermöglicht es, das Projekt zu untersuchen und die Softwarekomponente anzupassen, entspricht aber keiner unabhängigen Validierung der gesamten Plattform. In den verfügbaren Informationen wird kein reproduzierbarer Vergleich unter gleichwertigen Bedingungen mit bestehenden Sicherheitswerkzeugen geliefert.

Eine nützliche Bewertung müsste die getestete Konfiguration, die Richtlinien, die verbundenen Modelle und Werkzeuge, die Angriffsarten, die Erkennungskriterien und die Latenzmessungen veröffentlichen. Sie müsste auch False Positives und False Negatives sowie die Aktionen protokollieren, die der Agent vor der Isolierung ausführen konnte. Ohne diese Daten ist es nicht möglich, eine Behauptung des Herstellers in eine allgemeine Schätzung der Wirksamkeit umzuwandeln.

Für interessierte Organisationen ist der vorsichtige Schluss, OpenShell und Sentry als angekündigte Kontrollschichten zu betrachten, die eigene Konfiguration und Validierung erfordern. Vor der Adoption sollte man bestätigen, was für die konkrete Umgebung verfügbar ist, welche Hardware Sentry benötigt, welche Ressourcen im Überwachungsbereich liegen und welche unabhängigen Beweise für die geplanten Nutzungsszenarien existieren.

Weiter entdecken

Korrekturen und Transparenz

Wenn du falsche oder veraltete Angaben findest, sende uns die Seite und die zu prüfende Quelle.