NVIDIA OpenShell: Referenzarchitektur verlagert die Sicherheit von KI-Agenten in die Infrastruktur

Governance außerhalb der Reichweite des Agenten

Nach Angaben von NVIDIA können autonome Agenten stundenlang an komplexen Aufgaben arbeiten, auf Dateien, Tools und das Internet zugreifen und weitere Agenten starten. Über lange Zeiträume führt das zu einem wachsenden Risiko: Agenten laden womöglich Code herunter, bauen neue Werkzeuge, fordern zusätzliche Berechtigungen an und greifen auf immer größere Teile der zugrunde liegenden Infrastruktur zu. NVIDIA argumentiert, ein Agent könne sich nicht selbst steuern („an agent cannot govern itself"), Sicherheit und Governance gehörten deshalb in die Infrastruktur, in der der Agent arbeitet.

OpenShell ist NVIDIAs quelloffene Laufzeitumgebung, um diese Kontrolle in der Infrastruktur zu verankern. Sie legt fest und setzt durch, auf welche Systeme und Daten ein Agent zugreifen darf, von Dateien und Internetdiensten bis zu Systemen, die mit physischen Geräten interagieren. Die Laufzeitumgebung behandelt Agenten-Workloads während der gesamten Ausführung als nicht vertrauenswürdig und gewährt einem Agenten Zugriff auf das, was er braucht, genau dann, wenn er es braucht.

OpenShell besteht aus vier Komponenten:

• Gateway: die Steuerungsebene (Control Plane), die Lebenszyklen und Richtlinien der Sandboxes verwaltet.
• Supervisor: prüft ausgehende Anfragen anhand der Richtlinien und vermittelt den Zugriff auf Zugangsdaten, und zwar vollständig getrennt von der Sandbox.
• Sandbox: isoliert die Agenten-Workload und beschränkt den Zugriff auf Dateisystem und Prozesse.
• Policy Prover: ergänzt eine formale Verifikation und prüft, ob die Berechtigungen einer Richtlinie innerhalb einer von der Organisation festgelegten Obergrenze bleiben.

NVIDIA betont zudem die Erweiterbarkeit. Mit der Supervisor-Middleware können Nutzer Inhalte, die ein Agent über das Netzwerk sendet und empfängt, prüfen, blockieren oder verändern. Über Gateway-Interceptors können Betreiber einsatzspezifische Governance in Vorgänge der Control Plane einbauen, ohne das Gateway zu verändern. Außerdem bietet OpenShell Durchsetzungspunkte, an die sich Systeme für Identität, Autorisierung, Datenschutz und Auditing anbinden lassen.

Vera CPUs als Rechenschicht

In der Referenzarchitektur läuft OpenShell auf NVIDIA Vera CPUs. NVIDIA beschreibt die Aufgabenteilung schlicht: OpenShell legt fest, was Agenten tun dürfen, Vera bestimmt, wie schnell sie es tun können. Agenten arbeiten in Schleifen aufeinander aufbauender Schritte, etwa Schlussfolgern, Tool-Aufrufen, Codeausführung und Datenabfragen, und KI-Fabriken führen Tausende dieser Schleifen gleichzeitig aus.

Laut NVIDIA verfügt Vera über 88 von NVIDIA entwickelte Olympus-Kerne und erreicht bei kritischen agentischen Workloads bis zu doppelte Leistung gegenüber x86. Das Unternehmen nennt eine Scalable Coherency Fabric der zweiten Generation mit bis zu dreifacher Core-zu-Core-Bandbreite und bis zu 50 % geringerer Core-zu-Core-Latenz als bei x86-Alternativen sowie 96 PCIe-Gen-6-Lanes. Beim Speicher kommt LPDDR5X mit bis zu 1,2 TB/s Bandbreite und bis zu 40 % geringerer Speicherlatenz unter Last als bei Chiplet-basierten Designs zum Einsatz. Zudem verspricht das Unternehmen doppelt so viel Leistung pro Watt wie bei x86-CPUs.

CoreWeave, die KI-Cloud-Plattform, meldete einen mehr als dreimal schnelleren Sandbox-Start auf Vera als auf x86; ein einzelnes Rack unterstützt dabei mehr als 11.000 gleichzeitige Agentenumgebungen. Im Terminal Bench, der die CPU-Leistung bei realen Aufgaben in Agentenschleifen misst, war Vera laut CoreWeave 1,8-mal schneller als x86, bei Aufgaben vom Scripting bis zur Datenbankwiederherstellung. NVIDIAs Wert beschreibt den Vergleich mit einer führenden x86-CPU über 20 reale Agentenaufgaben.

BlueField-4 und Sentry sorgen für Durchsetzung in Hardware

Für Einsätze mit höherem Schutzbedarf überträgt NVIDIA die Trennung bis in die Hardware. NVIDIA BlueField-4 DPUs bilden eine hardwareisolierte Vertrauensdomäne außerhalb der Reichweite des Agenten und sitzen im I/O-Pfad zwischen den auf Vera laufenden Agenten und den Modellen, auf die sie zugreifen.

NVIDIA Sentry, ein auf NVIDIA DOCA aufbauendes Sicherheits-Software-Framework, läuft in dieser unabhängigen Domäne. Es überwacht Anfragen und Antworten sowie Netzwerk- und Dateiaktivität, prüft Identität und delegierte Befugnisse und analysiert ausgewählten Host-Speicher, um Abweichungen vom autorisierten Verhalten zu erkennen, ohne auf Selbstauskünfte des Agenten angewiesen zu sein. Erkennt es eine Bedrohung oder einen Richtlinienverstoß, setzt BlueField-4 die Richtlinie in Silizium durch, sodass Sentry den Agenten laut NVIDIA innerhalb von Millisekunden isolieren kann.

Was das für Teams bedeutet, die Agenten einsetzen

Die Architektur bietet Organisationen ein Modell, in dem die Kontrollen für Agenten außerhalb des Agenten liegen und sich prüfen, erweitern und bei Bedarf durch Hardware absichern lassen. NVIDIA verweist für den Einstieg in die Umsetzung von Agenten-Governance auf das OpenShell-GitHub-Repository und für Hinweise zum Einsatz auf die Dokumentation des Secure Agent Workspace Reference Design. Die Leistungsangaben stammen von NVIDIA sowie aus CoreWeaves Messungen, wie sie NVIDIA wiedergibt.