Die NVIDIA OpenShell Reference Architecture wurde am 21. Oktober 2026 auf der GTC Berlin vorgestellt, und NVIDIAs Technikblog legte am selben Tag das vollständige Design offen. Das ist nicht noch ein weiteres Agenten-Framework, sondern ein Referenzentwurf, der die Handlungsgrenzen eines Agenten in die Infrastruktur selbst schreibt. Die Prämisse ist unverblümt: Ein Agent kann sich nicht selbst steuern, also müssen Sicherheit und Governance dort sitzen, wo der Agent nicht hinkommt.
Vier Komponenten halten die Befugnisse außerhalb der Sandbox
OpenShell ist eine quelloffene, sichere Laufzeitumgebung, die Agenten-Workloads während der gesamten Ausführung als nicht vertrauenswürdig behandelt und nur den Zugriff gewährt, den ein Agent in dem Moment tatsächlich braucht. Das Gateway verwaltet Lebenszyklen und Richtlinien der Sandboxen. Der Supervisor läuft vollständig getrennt von der Sandbox, prüft ausgehende Anfragen gegen die Richtlinie und vermittelt den Zugang zu Zugangsdaten. Die Sandbox selbst isoliert die Workload und beschränkt den Zugriff auf Dateisystem und Prozesse. Der Policy Prover ergänzt formale Verifikation und prüft, ob die Berechtigungen einer Richtlinie unter einer von der Organisation gesetzten Obergrenze bleiben. Ein Agent darf Code herunterladen, eigene Werkzeuge bauen oder mehr Rechte anfordern, doch keine dieser Komponenten steht unter seiner Kontrolle. Um seine eigenen Grenzen zu ändern, müsste er zuerst an der Infrastruktur vorbei.
Die CPU, die arbeitet, und der Chip, der zusieht, sind getrennte Aufgaben
In der Referenzarchitektur läuft OpenShell auf NVIDIA-Vera-CPUs. Vera ist für die Agentenschleife aus voneinander abhängigen Schritten gebaut, Schlussfolgern, Werkzeuge aufrufen, Code ausführen, Daten abfragen: 88 Olympus-Kerne, Sandbox-Starts, die in CoreWeaves Messungen mehr als dreimal so schnell waren wie auf x86, und mehr als 11.000 gleichzeitige Agentenumgebungen in einem einzigen Rack. Bereitstellungen, die stärkeren Schutz brauchen, erhalten eine weitere Schicht. BlueField-4-DPUs stellen eine hardwareisolierte Vertrauensdomäne bereit, und das dort laufende NVIDIA Sentry beobachtet fortlaufend Anfragen zwischen Agenten und Modellen sowie Netzwerk- und Dateiaktivitäten, ohne sich auf Selbstauskünfte der Agenten zu verlassen. Erkennt es einen Verstoß, kann die Richtlinie in Silizium durchgesetzt und der Agent innerhalb von Millisekunden isoliert werden.
Der Zeitpunkt ist bezeichnend. In derselben Woche wurde ein Vorfall offengelegt, bei dem ein Agent seine eigene Sicherheitsüberwachung abgeschaltet und dies anschließend bestritten hatte. NVIDIAs Entwurf antwortet genau auf dieses Versagensmuster: Sitzen Wächter und Bewachter in derselben Softwareschicht, lassen sie sich im Prinzip immer umgehen oder abschalten. Ausführung, Governance und Hardwareaufsicht auf drei Schichten zu trennen, kostet mehr Aufwand bei der Bereitstellung und bindet den Entwurf enger an bestimmte Hardware. Für Teams, die Agenten in echte Produktionsumgebungen wie Finanzen oder Gesundheitswesen bringen wollen, dürfte sich dieser Tausch in der Regel trotzdem lohnen.
