Nvidia combina isolamento por software e vigilância em hardware para conter agentes de IA

Uma plataforma com controles em duas camadas

A Nvidia apresentou em 28 de setembro de 2026 a Open Agent Safety Platform, uma proposta que combina ferramentas de software e uma arquitetura de referência de hardware para estabelecer controles sobre agentes de inteligência artificial. A plataforma é formada pelo OpenShell, um runtime de código aberto, e pelo Sentry, um mecanismo de vigilância projetado para ser executado nas unidades de processamento de dados BlueField-4.

A ideia central é distribuir a segurança para fora do próprio agente. O OpenShell aplica limites de execução por meio de software; o Sentry adiciona uma supervisão independente a partir da infraestrutura. A Nvidia sustenta que as organizações podem adotar partes da plataforma conforme suas necessidades, pelo que usar o OpenShell não implica necessariamente implantar o Sentry nem dispor de BlueField-4.

É importante separar o anúncio de sua avaliação: a documentação oficial descreve a arquitetura e as capacidades previstas, mas não fornece por si só uma comparação independente que permita medir sua eficácia em relação a outros controles ou contra todos os ataques possíveis. A afirmação de que o Sentry pode intervir em milissegundos deve ser entendida dentro do design anunciado, não como garantia universal.

OpenShell impõe limites ao que o agente pode fazer

O OpenShell cria um ambiente de execução isolado e aplica políticas sobre as ações e os recursos disponíveis para um agente. De acordo com a documentação da Nvidia, esses controles podem abranger arquivos, conexões de rede e operações do sistema. A plataforma também se propõe a gerenciar de forma restrita o acesso a credenciais, de modo que o agente não precise recebê-las diretamente para cada tarefa.

A diferença em relação a uma instrução escrita no prompt é de localização e cumprimento. Uma indicação como "não acesse esta pasta" depende de o modelo a respeitar. Um controle aplicado pelo ambiente de execução pode restringir o acesso independentemente dessa instrução. Isso adiciona uma barreira técnica, embora seu alcance dependa de como é configurado e de quais recursos permaneçam autorizados.

A Nvidia indica que o OpenShell é de código aberto e que pode ser estendido para funcionar em plataformas de terceiros, incluindo Arm e Intel. A empresa também o apresenta como amplamente disponível. Essa disponibilidade do componente de software não deve ser confundida com a disponibilidade de todo o sistema integrado nem com a necessidade de hardware específico para o Sentry.

Sentry adiciona vigilância a partir de uma DPU

O Sentry é uma arquitetura de referência que, segundo a Nvidia, funciona sobre as DPU BlueField-4 e supervisiona continuamente a atividade dos agentes a partir de um ambiente separado. A empresa descreve sua função como a inspeção de solicitações e respostas, a verificação da identidade do agente, a geração de telemetria e a aplicação de políticas de acesso a dados, ferramentas, interfaces e serviços.

A separação pretende que a supervisão não dependa exclusivamente do software que executa o agente. Se uma operação tentar superar os limites definidos, a Nvidia afirma que o Sentry pode colocar o agente em quarentena e detê-lo em milissegundos. A frase descreve a velocidade anunciada para a intervenção uma vez identificada uma violação; não especifica por si só quanto tempo leva para reconhecer uma atividade perigosa nem quais sinais bastam para detectá-la.

Em termos práticos, o Sentry introduz um requisito distinto do OpenShell: sua arquitetura está vinculada ao BlueField-4. Por isso, a possibilidade de adotar o OpenShell em outras plataformas não deve ser transferida automaticamente para o Sentry. O material disponível também não resolve todas as condições de implantação, compatibilidade e disponibilidade comercial para cada configuração.

Milissegundos de contenção não significam detecção instantânea

O anúncio da Nvidia atribui ao Sentry a capacidade de colocar um agente em quarentena em milissegundos quando ele tenta sair de seus limites. No entanto, a velocidade de resposta e a velocidade de detecção são medidas diferentes. Para avaliar a proteção, são necessários dados sobre ambas: quando o comportamento problemático é reconhecido e quanto tempo leva para aplicar o bloqueio a partir desse momento.

Um agente pode ter credenciais válidas e realizar uma ação que pareça legítima do ponto de vista técnico, embora o resultado seja inadequado. Também pode iniciar operações antes de uma quarentena ser ativada. Por isso, conhecer apenas o tempo de intervenção não basta para determinar o que pode ocorrer antes do bloqueio, quais dados podem ter sido consultados ou quais mudanças podem ter sido realizadas.

A avaliação requer fixar condições concretas: recursos conectados, permissões concedidas, políticas configuradas, localização do agente e critérios de detecção. Sem essa informação, a cifra de milissegundos não permite comparar implantações distintas nem antecipar resultados em uma organização específica.

O que pode ficar fora da proteção

Os controles de infraestrutura podem limitar ações, mas não garantem que o agente interprete corretamente uma tarefa, produza respostas confiáveis ou tome boas decisões dentro do espaço autorizado. Um agente que trabalha dentro de seu sandbox ainda pode cometer erros com consequências, gerar resultados incorretos ou usar de forma prejudicial permissões legítimas.

Também permanece aberta a resposta a agentes enganados ou que ocultem suas intenções. As fontes críticas apontam que uma vigilância baseada em sinais de comportamento pode não ser suficiente se o agente aparentar agir legitimamente ou se o dano começar antes de a quarentena ser ativada. Isso não prova uma vulnerabilidade específica do Sentry: indica que o anúncio não demonstra cobertura suficiente desses cenários.

As políticas também importam. Uma regra muito permissiva pode deixar passar ações indesejadas; uma regra muito estrita pode interromper tarefas legítimas. A proteção depende, portanto, de definir corretamente os limites, mantê-los atualizados e verificar como interagem com as permissões, as ferramentas e os serviços conectados.

Quais testes são necessários para julgar sua eficácia

A documentação oficial explica componentes, propósito e arquitetura, e indica que o OpenShell está disponível como software de código aberto. Isso permite examinar o projeto e adaptar o componente de software, mas não equivale a uma validação independente da plataforma completa. Na informação disponível, não se fornece uma comparação reproduzível, sob condições equivalentes, com ferramentas de segurança existentes.

Uma avaliação útil deveria publicar a configuração testada, as políticas, os modelos e ferramentas conectados, as classes de ataques, os critérios de detecção e as medidas de latência. Também teria que registrar falsos positivos e falsos negativos, bem como as ações que o agente conseguiu realizar antes de ser isolado. Sem esses dados, não é possível converter uma afirmação do fabricante em uma estimativa geral de eficácia.

Para as organizações interessadas, a conclusão prudente é tratar o OpenShell e o Sentry como camadas de controle anunciadas que requerem configuração e validação próprias. Antes de adotá-las, é aconselhável confirmar o que está disponível para o ambiente específico, qual hardware o Sentry requer, quais recursos permanecem dentro do perímetro de vigilância e qual evidência independente existe para os cenários de uso previstos.

Continue a explorar

Correções e transparência

Se encontrar informação incorreta ou desatualizada, envie-nos a página e a fonte que devemos rever.