📡 Signal｜NVIDIA、AI エージェント安全基盤を参照設計として公開

NVIDIAは10月21日、ベルリンで開いた開発者会議GTC Berlinで、AIエージェントを安全に動かすための参照設計「OpenShell Reference Architecture」を発表した。モデルを動かすVera Rubin、エージェントを動かすVera CPU、外から見張るBlueField-4という3種の計算基盤を、一つの設計図として組み合わせたものだ。

NVIDIA Newsroom: NVIDIA Launches OpenShell Reference Architecture for Safe AI Agents (2026-10-21)NVIDIA Newsroom

9月28日に発表した安全基盤 (OpenShellとSentryの組み合わせ) を、データセンターの構成図にまで落とした形になる。発表の事実は当日の速報で伝えた。

前回のSignalが「示されていない」と書いた提供時期にも、今回は答えが出た。エージェントの安全が、ソフトウェアの機能から、サーバーをどう組むかという調達の話へ移り始めている。

考える・動く・見張るを、別の部品に分ける

ジェンスン・フアンCEOは発表で、エージェントは「Rubinで考え、Veraで動き、BlueFieldで統治される」と述べた。参照設計はこの一文のとおりに役割を分けている。

Vera Rubin: 推論、つまりモデルが考える部分を担う。中心はラック単位のシステム Vera Rubin NVL72
Vera CPU: エージェントの本体と、エージェントが使う道具 (検索・コード実行など) を動かす。その周りをOpenShellが実行時の境界として囲う
BlueField-4: DPU (ネットワークやセキュリティの処理を受け持つ専用チップ) の上でSentryを動かし、エージェントの振る舞いを監視し、方針をチップの側で強制する

机の上に置く小型機も対象に入った。RTX Spark、DGX Spark、DGX Stationという手元の機材でも、同じ考え方でエージェントを動かせるとしている。

OpenShellの4つの部品と、形式検証

同日公開の技術ブログは、OpenShellの中身を4つに分けて説明した。サンドボックスと方針を管理するゲートウェイ、外へ出る通信を方針と照らし合わせて認証情報の受け渡しを仲介するスーパーバイザー、エージェントを閉じ込めるサンドボックス、そして方針の検証器 (policy prover) だ。

スーパーバイザーはサンドボックスとは完全に切り離して動くと書かれている。エージェントが認証情報そのものに触れずに済む設計で、乗っ取られたエージェントが鍵を持ち出す経路を最初から断つ。

検証器は、形式検証 (数学的な証明で性質を確かめる手法) を使って、ある方針が与える権限が組織の決めた上限を超えていないことを確かめる。人の目による点検では残る設定ミスを、動かす前に機械で弾く仕組みだ。

OpenShell本体はGitHubで公開されているオープンソースのソフトウェアで、ライセンスはApache 2.0だ。

「いま使える」部分と、来年の部分

発表文は、参照設計を「現在提供中」とした。一方、同日公開のSentryの解説記事は、Sentryの提供を「来年初めの予定」と書いている。ソフトウェアの層 (OpenShell) は今日から使え、いちばん強い止め役であるチップ上の監視は、もう少し先になる。

Sentryの解説によると、Sentryはエージェントとは別のハードウェアの領域から通信を検査し、エージェントの実行環境のメモリも調べる。エージェントにもホストのソフトウェアにも協力を求めずに、ミリ秒単位でエージェントを隔離できるという。エージェントの自己申告に頼らない点が、ソフトウェアだけの安全装置との違いだ。技術ブログはこれを、OpenShellの境界を超える保護が要る現場のための任意の安全装置と位置づけている。

採用の顔ぶれも、9月より具体的になった。ServiceNowは、長時間動き続ける個人向けエージェント「ServiceNow Arc」の一般提供を発表し、その行動はOpenShellが実行時に統治する。SAPは自社のJoule Studioの実行環境に参照設計を組み込む。欧州の銀行ではBBVAとSantanderが検討に入った。モデル開発側の参加企業としては、Anthropic、Google、Meta、OpenAIなどの名前が並ぶ。

Sentryの提供時期と、銀行の判断

基本線は、OpenShellの採用が企業のエージェント基盤で先に広がり、Sentryは来年、BlueField-4を積んだサーバーの更新とともに入っていく流れだ。銀行の検討が実際の導入に進めば、「ハードウェアで隔離されたエージェント」が金融機関の調達条件に書かれる日は近くなる。

確認先は二つある。NVIDIAの開発者ブログのSentry解説記事で、「来年初め」がいつの、どの形の提供 (早期利用か一般提供か) になるか。もう一つはBBVAとSantanderのニュースリリースで、「検討」が導入の発表に変わるかどうかだ。

ことば

参照設計 (Reference Architecture) — 部品の組み合わせ方と設定を示した、メーカー公認の設計図。導入する企業やサーバーメーカーはこれを下敷きに自社の構成を作る。今回はエージェントの安全を、この設計図の段階で組み込んだ。
形式検証 — プログラムや設定が決められた性質を満たすことを、試験ではなく数学的な証明で確かめる手法。今回は、エージェントに与える権限が組織の上限を超えないことの確認に使う。
DPU — Data Processing Unit。ネットワーク、ストレージ、セキュリティの処理をCPUから引き受ける専用チップ。エージェントと別の場所にあるため、エージェントに触れられずに見張り役を務められる。

🔗 一次ソース

考える・動く・見張るを、別の部品に分ける

OpenShellの4つの部品と、形式検証

「いま使える」部分と、来年の部分

Sentryの提供時期と、銀行の判断

ことば

関連記事