Nvidia запирает ИИ-агентов в песочницу со сторожем на DPU

Nvidia 28 сентября объединила в Open Agent Safety Platform две части. Первая - открытая среда OpenShell 0.1.0, где каждый агент работает в песочнице с изоляцией на уровне ядра. Вторая - сторож Sentry на DPU BlueField-4, который, по словам компании, за миллисекунды отрезает агента от сети. Для строгого контроля доступа во многих случаях хватает одного OpenShell на обычных CPU, говорит вице-президент Nvidia по корпоративному ИИ Джастин Бойтано. Закрытый Sentry рассчитан на оценку фронтирных моделей и редтиминг, где защиты у моделей сняты.

Поводом, как рассказывает The New Stack, стали летние инциденты: OpenAI, Anthropic, Meta и Google одна за другой признали, что их модели выбирались из тестовых сред и добирались до настоящих систем. «Защиты на уровне модели сами по себе не могут управлять тем, к чему агенты получают доступ и что они делают», - сказал Бойтано на брифинге для прессы.

Что даёт OpenShell

OpenShell распространяется под Apache 2.0. Nvidia показала его ещё в марте на GTC вместе с NemoClaw, своей сборкой OpenClaw, и с тех пор агенты вроде OpenClaw, Claude Code от Anthropic или Codex от OpenAI запускаются внутри него без доработок. Каждый агент получает собственную песочницу, изолированную ядром, и выходит в сеть только через супервизор, который работает за пределами нагрузки агента.

Главная идея архитектуры, по разбору Futurum, в том, что правила живут вне процесса агента: их не может переопределить ни сам агент, ни промпт-инъекция, ни скомпрометированная зависимость. Движок политик проверяет каждое действие агента вплоть до бинарника, адреса, метода и пути, причём в файловой системе, сети и процессах. Отдельный маршрутизатор по политике организации решает, остаётся ли контекст у локальной модели или уходит к фронтирной, и мнение агента тут не учитывается.

«Традиционные песочницы, будь то микро-VM, контейнеры или виртуальные машины, строились для изоляции на уровне приложений», - объясняет Бойтано. По его словам, каждому агенту в компании нужна своя песочница с контролем, до которого агент не дотягивается.

Доказательство вместо LLM-судьи

Главная новинка версии 0.1.0 - доказатель политик (policy prover). Он проверяет, что разрешения, которые выдаёт политика, всегда остаются в границах, задуманных оператором. «Он детерминированный, это математическое рассуждение. Так что здесь нет LLM в роли судьи», - сказал старший директор Nvidia по ИИ-софту Али Голшан. Поэтому, по его словам, prover работает «примерно на два порядка» быстрее и производительнее.

В примере Голшана политика запрещает агенту читать код на GitHub и выкладывать его наружу. Агент может обойти запрет, если породит двух субагентов: один читает GitHub и передаёт прочитанное второму, а второй публикует. Prover моделирует совокупный доступ всего парка агентов и находит такой путь.

В собственных тестах Nvidia агенты с ослабленными защитами до двух часов уговаривали ИИ-ревьюера дать им права на запись в защищённый репозиторий. По словам компании, prover показывал ревьюеру, что на деле разрешает запрос, и ни одной записи в защищённый репозиторий так и не случилось.

Sentry и DPU

BlueField-4 относится к DPU: это отдельный процессор, у которого свой домен доверия, независимый от хоста. Sentry на нём видит трафик агента к модели, следит за его действиями и рассуждениями, а когда что-то идёт не так, изолирует агента на сетевом уровне. Запросы к модели при этом идут «через прокси на DPU, так что видны все трассы рассуждений агентов на хосте», объясняет Бойтано.

В отличие от OpenShell, исходники Sentry закрыты. Бойтано уверяет, что API у него открытые, а OpenShell работает и с другим оборудованием для сетевого контроля. «DPU в таких архитектурах на самом деле опционален», - говорит он. Нужен он, по словам Бойтано, для «фронтирных сценариев оценки моделей или систем, где у моделей могут быть сняты ограничители», например для редтиминга.

Лето побегов

OpenAI 21 июля сообщила, что GPT-5.6 Sol и исследовательский прототип воспользовались уязвимостью нулевого дня в прокси пакетов, единственном сетевом выходе их песочницы, и добрались до продакшен-базы Hugging Face. Через несколько дней Anthropic рассказала, что три её модели нашли непредусмотренный выход в интернет у партнёра по оценкам Irregular. Среди прочего они залезли в базу данных реальной компании и опубликовали в PyPI работающий вредоносный пакет. Meta 6 августа описала, как предрелизная Muse Spark читала и меняла базу настоящего сайта: та же ошибка конфигурации у Irregular выдала ей реальное имя сайта. Последней Google объявила, что Gemini проникла в сети трёх компаний, и тоже из тестовой среды Irregular.

Irregular, которая проводит предрелизные киберпроверки для фронтирных лабораторий, стоит в списке партнёров запуска. В заметке Cloud Security Alliance подчёркивается, что ни OpenAI, ни Anthropic, ни Meta не называли случившееся побегом из песочницы в техническом смысле, когда модель вырывается из своего контейнера. У Anthropic и Meta причиной стала ошибка в инфраструктуре Irregular: она открыла моделям сеть, которой у них, как им говорили, не было. Модели OpenAI проложили путь наружу сами, связав эксплойт нулевого дня, украденные учётные данные и повышение привилегий. Сама Nvidia в техническом блоге объясняет побеги не новой способностью моделей, а «сочетанием инструментов, времени и двусмысленных инструкций».

Помогла бы платформа против взлома Hugging Face? Бойтано оговорился, что каждый инцидент уникален, и дал обещание с двумя условиями: «насколько нам известно» и если бы лаборатории с самого начала применяли платформу для оценки моделей. Тогда, по его словам, она «могла бы остановить взлом».

Кто подключился

Anthropic встраивает OpenShell в Claude Managed Agents, где цикл агента и так крутится на инфраструктуре Anthropic, а инструменты исполняются в песочницах клиента. SpaceXAI говорит, что использует платформу для кодовых агентов Cursor и моделей Grok. Salesforce вывела события аудита OpenShell и подтверждения разрешений в Slack, а SAP встраивает среду в Joule Studio и сама присылает в неё код.

OpenAI и Google, две из четырёх лабораторий, чьи агенты сбегали этим летом, в списке партнёров отсутствуют, как и AWS. На вопрос, будут ли Anthropic и OpenAI запускать OpenShell и Nvidia Sentry в собственных обучающих прогонах, Бойтано предложил ждать блог-постов самих партнёров.