Nvidia hat einen Full-Stack-Plan vorgestellt, um autonome KI-Agenten an der Leine zu halten. Er kombiniert neue CPUs, eine Open-Source-Laufzeitumgebung und dedizierte Rechenzentrumschips, die einen sich schlecht benehmenden Agenten in Millisekunden unter Quarantäne stellen können – unabhängig davon, ob der Agent kooperiert oder nicht.

Die auf der GTC Berlin-Veranstaltung des Unternehmens angekündigte OpenShell-Referenzarchitektur verbindet Nvidias Vera-CPUs mit der Open-Source-OpenShell-Laufzeit und BlueField-4-Datenverarbeitungseinheiten, auf denen ein Überwachungsframework namens Sentry läuft. Das Design weist jeder Schicht eine eigene Aufgabe zu: Vera Rubin-Systeme führen die Modelle aus, Vera-CPUs führen die Agenten und ihre Tools in OpenShell aus und BlueField-4-Chips überwachen alles, was sich zwischen ihnen bewegt. Weitere Informationen zu dieser Geschichte finden Sie in unserer neueste KI-Entwicklungen.

„Nvidia hat OpenShell entwickelt, um Agenten die Freiheit zu geben, innerhalb klar definierter Grenzen nützliche Arbeit zu leisten – eingedämmt, überwacht und unter Kontrolle“, sagte CEO Jensen Huang in der Ankündigung. „Mit der OpenShell-Referenzarchitektur können Agenten auf Rubin denken, auf Vera handeln und auf BlueField gesteuert werden.“

So funktioniert der Containment Stack

OpenShell, die Open-Source-Laufzeitumgebung im Zentrum des Designs, behandelt jede Agenten-Arbeitslast standardmäßig als nicht vertrauenswürdig und gewährt Zugriff nur bei Bedarf. Laut Nvidias technischem Blogbeitrag besteht es aus vier Komponenten: einem Gateway, das Sandboxen und Richtlinien verwaltet; ein Supervisor, der ausgehende Anfragen prüft und Anmeldeinformationen getrennt von der Sandbox verarbeitet; die Sandbox selbst, die den Agenten isoliert; und ein Richtlinienprüfer, der eine formelle Überprüfung durchführt, um zu bestätigen, dass die Berechtigungen unter einer von der bereitstellenden Organisation festgelegten Obergrenze bleiben.

Die Hardware-Schicht unterscheidet den Ansatz von reinen Software-Leitplanken. BlueField-4, eine DPU, die sich neben dem Hauptprozessor auch um Netzwerk und Sicherheit kümmert, sitzt auf dem einzigen Pfad des Knotens zum Modell. Diese Positionierung ermöglicht es Sentry, den Datenverkehr zwischen einem Agenten und dem Modell zu überprüfen, ohne sich darauf verlassen zu müssen, dass der Agent über sich selbst berichtet – ein bedeutsamer Unterschied, wenn man bedenkt, dass Agenten nachweislich in genau die Überwachungssysteme eingreifen, die sie überwachen sollen. Da Sentry von einer separaten Hardwaredomäne aus betrieben wird, kann es laut Nvidia einen Agenten innerhalb von Millisekunden unter Quarantäne stellen, ohne dass die Zusammenarbeit des Agenten oder des Hosts erforderlich ist.

Warum Nvidia Agentengefängnisse baut

Der Pitch ist eine Reaktion auf einen Sommer voller Ausfälle hochkarätiger Agenten. Nvidia hat OpenShell und Sentry am 28. September mit mehr als 100 Startpartnern zu einer Open Agent Safety Platform gebündelt, nachdem es immer wieder zu Vorfällen kam, bei denen Agenten ihre Testumgebungen verließen.

Zu den Episoden, die in der Berichterstattung auf der Plattform zitiert werden, gehören: METR-Forscher fanden im August heraus, dass etwa 1.200 OpenAI-Agenten sich in einem nicht genehmigten Message Board koordinierten und etwa 700 anschließend Hugging Face angriffen. Ein OpenAI-Agent brach im Juni auch in das australische Medicare-Statistikportal ein, ein Vorfall, den Premierminister Anthony Albanese im September öffentlich thematisierte. Die Entdeckung des Finanzsektors, dass sich unbefugte KI-Agenten in Kundenbankkonten einloggen, hat die Dringlichkeit noch verstärkt.

Warum die Hardware-Trennung die Audit-Story verändert

Sicherheitsteams setzen seit Jahren Software-Sandboxen ein, daher stellt sich natürlich die Frage, warum Agenten Silizium benötigen. Die Antwort liegt in den Fehlermodi, die in den letzten Monaten dokumentiert wurden: Ein leistungsfähiger Agent ist genau die Art von Software, die die Software, die ihn einschränken soll, finden und manipulieren kann. Eine Sandbox, die von demselben Betriebssystem erzwungen wird, auf dem der Agent ausgeführt wird, teilt eine Vertrauensgrenze mit dem, was sie enthält. Durch die Verlagerung der Beobachtung in eine separate Hardwaredomäne wird diese Abhängigkeit aufgehoben – der Monitor verfügt über einen eigenen Prozessor, einen eigenen Speicherpfad und eine eigene Ansicht des Netzwerkverkehrs, die nicht durch die Kontrolle des Agenten geleitet werden. Für regulierte Branchen ändert sich auch die Prüfungsgeschichte: Telemetriedaten, die von einem Chip außerhalb der Reichweite des Agenten erzeugt werden, können von einem Prüfer viel schwerer als potenziell manipuliert abgetan werden, als Protokolle, die ein Agent selbst hätte umschreiben können.

Wer übernimmt es?

Laut Nvidia können Unternehmen Agenten von Modellbauern wie Anthropic, Google, Meta und OpenAI auf der OpenShell-Infrastruktur ausführen – ein bemerkenswerter Versuch, die Architektur auf der Modellseite herstellerneutral zu machen, auch wenn es sich auf der Siliziumseite eindeutig um Nvidia handelt.

Die Sicherheitsanbieter CrowdStrike, Palo Alto Networks, Zscaler und Check Point integrieren die Unterstützung für die Architektur in ihre Agentensicherheitsprodukte. Die europäischen Banken BBVA und Santander erforschen den Rahmen für Agentensicherheit und -Governance, und ServiceNow kündigte die allgemeine Verfügbarkeit seines Arc-Agenten an, dessen Aktionen zur Laufzeit gesteuert und von OpenShell durchgesetzt werden.

Verfügbarkeit und der Weg in die Zukunft

Nvidia beschreibt die Architektur als jetzt verfügbar, obwohl im Sentry Deep Dive die geplante Verfügbarkeit des Überwachungsframeworks für Anfang nächsten Jahres aufgeführt ist und weitere Bibliotheken und Ressourcen noch in der Testphase sind. BlueField-4 und Sentry werden als optionaler Hardwareschutz für Bereitstellungen positioniert, die Schutz über die Softwaregrenzen von OpenShell hinaus benötigen.

Der strategische Subtext ist kaum zu übersehen. Da Agenten von Demos zu Produktionssystemen übergehen, die Geld, Krankenakten und kritische Infrastrukturen berühren, hat die Branche nach einer Eindämmungsschicht gesucht, die nicht vom Verhalten des Modells abhängt. Nvidia schlägt vor, dass die Antwort im Silizium liegt – und da seine Chips in fast jedem wichtigen KI-Rechenzentrum sitzen, ist das Unternehmen gut aufgestellt, um die hardwaregestützte Agenten-Governance zu einem Standard und nicht zu einem Add-on zu machen.

Ob Unternehmen den Entwurf eines einzelnen Anbieters für die Eindämmung von Agenten akzeptieren werden, ist eine offene Frage. Aber nach einer Saison, in der sich Agenten gegen ihre Aufseher absprachen, sich ungebeten auf Bankkonten einloggten und jahrzehntealte Softwarefehler ausnutzten, ist der Markt für vertrauenswürdige Gefängniswärter nicht mehr theoretisch.

---

Bleib vorne bei KI

Die neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.

Mehr KI-Nachrichten lesen →