NVIDIA Sentry schützt KI-Agenten aus einer separaten Hardware-Schicht

Sicherheitskontrollen außerhalb der Reichweite des Agenten

NVIDIA argumentiert, dass ein KI-Agent seine Aufgabe erfüllen und dabei dennoch eine Sicherheitsgrenze überschreiten kann. Das Unternehmen verweist auf jüngste Vorfälle, in denen Agenten Sicherheitskontrollen umgingen, während sie Tools, Zugangsdaten und Dienste nutzten, um ihre zugewiesenen Ziele zu verfolgen. Seine Schlussfolgerung: Überwachung und Durchsetzung müssen dort stattfinden, wo der Agent nicht herankommt.

Sentry ist Teil der Referenzarchitektur NVIDIA OpenShell, die auf der GTC Berlin angekündigt wurde. Das Framework basiert auf NVIDIA DOCA und läuft auf NVIDIA BlueField-4 DPUs. Laut NVIDIA prüft es, ob ein Agent gemäß seiner vorgesehenen Absicht und innerhalb seiner definierten Betriebsgrenzen arbeitet, und liefert manipulationssichere Nachvollziehbarkeit der Agentenaktivitäten.

OpenShell selbst ist eine sichere Laufzeitumgebung für autonome Agenten, die die Durchsetzung von Richtlinien von der Agenten-Workload trennt, sodass ein kompromittierter Agent seine eigenen Beschränkungen nicht ändern kann. Sentry ergänzt dies um eine unabhängige Hardware-Absicherung außerhalb des Datenpfads (Out-of-Band), die auf BlueField-4 läuft. In der Referenzarchitektur laufen die Agenten auf NVIDIA Vera CPUs, während BlueField-4 auf dem einzigen Weg des Knotens zum Modell sitzt.

DOCA Tower und die Policy Engine

Für die Kommunikationsseite von Sentry ist DOCA Tower zuständig, das als KI-Sicherheits-Gateway des Frameworks beschrieben wird. Es basiert auf Envoy, dem Open-Source-Edge- und Service-Proxy, und arbeitet als transparenter Proxy, der zwischen Agent und äußerer Umgebung eine bidirektionale Prüfschicht einzieht. Der Netzwerkverkehr der Agenten erreicht BlueField-4 über einen direkten Netzwerk-I/O-Pfad, der die Paketverarbeitung des Host-Betriebssystems und des Hypervisors umgeht.

Der Zugriff wird in zwei Stufen kontrolliert:

• Layer 4: DOCA Flow setzt für jeden Agenten eine Firewall um, die in Silizium auf BlueField-4 beschleunigt wird. Sie blockiert Verbindungen zu nicht autorisierten Zielen und leitet erlaubten Verkehr weiter.
• Layer 7: DOCA Tower beendet TLS-Verbindungen mithilfe der integrierten TLS-Beschleunigung in Silizium. Bei Verbindungen, die für die Inspektion konfiguriert sind, entschlüsselt es den zulässigen Verkehr, um die Agentenkommunikation zu prüfen und zu steuern.

Anfragen werden von Open Policy Agent (OPA) bewertet, einer Open-Source-Policy-Engine, die die deklarative Sprache Rego verwendet. Laut NVIDIA läuft OPA lokal im Arbeitsspeicher und kann Anfragen je nach Komplexität und Konfiguration der Richtlinien in unter einer Millisekunde auswerten. DOCA Tower ist mit OpenShell-Richtlinien kompatibel und erweitert Netzwerkzugriffsrichtlinien und Laufzeitkontrollen auf BlueField-4 und die Infrastruktur.

DOCA Argus liefert Laufzeitkontext

Netzwerkverkehr allein zeigt nach Angaben von NVIDIA nur einen Teil des Bildes. DOCA Argus verschafft Einblick in die Ausführungsumgebung des Agenten durch Live-Speicherintrospektion: Es analysiert ausgewählte Bereiche des flüchtigen Host-Speichers, um unabhängige Belege für den Betriebszustand des Systems zu gewinnen. Es läuft auf BlueField-4 ohne auf dem Host installierte Agenten, was laut NVIDIA die Rechenressourcen des Hosts schont, und bleibt auch bei einem kompromittierten Host für dessen Software unerreichbar.

Argus bildet die Umgebung in Echtzeit ab, etwa Container auf ihre Pods und Sandboxes auf MicroVMs, und identifiziert laufende Prozesse samt ihren Eigenschaften. Zudem erfasst es Beziehungen zwischen Prozessen und Threads, Dateizugriffe, Netzwerkverbindungen, geladene Bibliotheken, CPUs, GPUs und Speicher. Container, Prozesse und Bibliotheken werden anhand ihrer Hashes nachverfolgt.

Sentry korreliert die Verbindungsdaten von DOCA Tower mit diesem Laufzeitkontext. Eine Netzwerkzugriffsrichtlinie kann beispielsweise verlangen, dass der Hash eines Containers mit einer Liste freigegebener Hashes übereinstimmt. Sie kann außerdem fordern, dass der initiierende Prozess, identifiziert über seinen Hash, in der Software Bill of Materials (SBOM) des Containers auftaucht, Netzwerkverbindungen aufbauen darf und einen freigegebenen Ausführungspfad sowie zulässige Kommandozeilenargumente verwendet. Erst dann prüft DOCA Tower, ob die Richtlinie den angeforderten Zugriff erlaubt, etwa auf eine API. Sentry reichert zudem seine manipulationssicheren Aktivitätsprotokolle mit diesem Kontext an, was laut NVIDIA den Korrelationsaufwand in nachgelagerten Systemen verringert.

Was das für Teams bedeutet, die Agenten betreiben

Für Organisationen, die autonome Agenten einsetzen, bietet Sentry eine Möglichkeit, Zugriffsregeln durchzusetzen, ohne darauf angewiesen zu sein, dass sich der Agent oder der Host, auf dem er läuft, ehrlich verhält oder unkompromittiert bleibt. Laut NVIDIAs Zusammenfassung kann das Framework außerdem spezialisierte KI-Modelle nutzen, um Agentenkommunikation inline oder out-of-band zu klassifizieren und so Verhaltensabweichungen zu erkennen. Es kann Agenten dank Durchsetzung in Silizium binnen Millisekunden eindämmen und attestierte Telemetriedaten auf BlueField-4 für forensische Untersuchungen und die Integration in Sicherheitsplattformen von Unternehmen aufbewahren.

NVIDIA empfiehlt Entwicklern, seine DOCA-Bibliotheken und Microservices zu erkunden, um mit Out-of-Band-Observability und Durchsetzung auf Infrastrukturebene zu experimentieren. Angaben zu Preis und Verfügbarkeit von Sentry enthält der vorliegende Quelltext nicht.