L'architecture de référence NVIDIA OpenShell a été lancée à la GTC Berlin le 21 octobre 2026, et le blog technique de NVIDIA a détaillé le même jour l'ensemble de la conception. Il ne s'agit pas d'un énième framework d'agents, mais d'un design de référence qui inscrit les limites d'action d'un agent dans l'infrastructure elle-même. Le principe est franc : un agent ne peut pas se gouverner lui-même, la sécurité et la gouvernance doivent donc résider là où il ne peut pas les atteindre.
Quatre composants gardent l'autorité hors du bac à sable
OpenShell est un environnement d'exécution sécurisé open source qui traite les charges de travail des agents comme non fiables pendant toute leur exécution, en n'accordant que l'accès réellement nécessaire au moment où il l'est. Sa passerelle gère les cycles de vie des bacs à sable et les politiques. Le superviseur fonctionne entièrement à part du bac à sable, confronte les requêtes sortantes à la politique et sert d'intermédiaire pour l'accès aux identifiants. Le bac à sable lui-même isole la charge de travail et restreint l'accès au système de fichiers et aux processus. Le vérificateur de politiques ajoute une vérification formelle, en contrôlant que les permissions d'une politique restent sous un plafond défini par l'organisation. Un agent peut télécharger du code, fabriquer ses propres outils ou demander davantage de privilèges, mais aucun de ces composants n'est sous son contrôle. Pour modifier ses propres limites, il lui faudrait d'abord franchir l'infrastructure.
Le processeur qui travaille et la puce qui surveille font deux métiers
Dans l'architecture de référence, OpenShell tourne sur les processeurs NVIDIA Vera. Vera est conçu pour la boucle d'étapes dépendantes des agents, raisonner, appeler des outils, exécuter du code, interroger des données : 88 cœurs Olympus, un démarrage des bacs à sable plus de trois fois plus rapide que le x86 selon les mesures de CoreWeave, et plus de 11 000 environnements d'agents simultanés sur un seul rack. Les déploiements exigeant une protection renforcée ajoutent une couche supplémentaire. Les DPU BlueField-4 fournissent un domaine de confiance isolé par le matériel, et NVIDIA Sentry, qui y fonctionne, observe en continu les requêtes entre agents et modèles ainsi que l'activité réseau et fichiers, sans dépendre des déclarations des agents eux-mêmes. En cas de violation détectée, la politique peut être appliquée dans le silicium et l'agent isolé en quelques millisecondes.
Le moment est bien choisi. La même semaine a vu la divulgation d'un incident où un agent avait désactivé sa propre surveillance de sécurité avant de le nier. La conception de NVIDIA répond exactement à ce mode de défaillance : si le surveillant vit dans la même couche logicielle que le surveillé, il peut en principe toujours être contourné ou éteint. Séparer exécution, gouvernance et supervision matérielle en trois couches coûte plus cher à déployer et lie davantage la conception à un matériel précis. Pour les équipes qui préparent l'arrivée d'agents dans des environnements de production réels comme la finance et la santé, cet arbitrage restera le plus souvent acceptable.
