NVIDIA OpenShell リファレンスアーキテクチャは、2026 年 10 月 21 日の GTC Berlin で発表され、NVIDIA は同日の技術ブログで設計の全体像を解説した。これは新しいエージェントフレームワークではない。エージェントの行動範囲をインフラそのものに書き込むためのリファレンス設計だ。前提は率直である。エージェントは自分を管理できないのだから、安全とガバナンスはエージェントの手の届かない場所に置かなければならない。
権限をサンドボックスの外に置く 4 つの部品
OpenShell はオープンソースの安全なランタイムで、エージェントのワークロードを実行中ずっと信頼できないものとして扱い、その時点で本当に必要なアクセスだけを与える。ゲートウェイはサンドボックスのライフサイクルとポリシーを管理する。スーパーバイザはサンドボックスから完全に独立して動き、外部へのリクエストをポリシーと照合し、認証情報へのアクセスを仲介する。サンドボックス自体はワークロードを隔離し、ファイルシステムとプロセスへのアクセスを制限する。ポリシープルーバは形式検証を行い、ポリシーが与える権限が組織の定めた上限を超えていないか確認する。エージェントはコードをダウンロードし、自前のツールを作り、追加の権限を求めることもできるが、これらの部品はどれもその制御下にない。自分の制限を変えたければ、まずインフラを通らなければならない。
働く CPU と見張るチップは別の仕事
リファレンスアーキテクチャでは、OpenShell は NVIDIA Vera CPU 上で動く。Vera は推論、ツール呼び出し、コード実行、データ照会と一歩ずつ進むエージェントのループのために設計された。88 個の Olympus コアを備え、CoreWeave の実測ではサンドボックス起動は x86 の 3 倍以上速く、1 ラックで 1 万 1 千を超えるエージェント環境を同時実行できる。より強い保護が必要な導入では、さらにもう 1 層加わる。BlueField-4 DPU がハードウェアで隔離された信頼ドメインを提供し、そこで動く NVIDIA Sentry がエージェントとモデルの間のリクエスト、ネットワークとファイルの活動を継続的に観察する。エージェントの自己申告には依存しない。違反を検出すれば、チップ側でポリシーを強制し、数ミリ秒以内にエージェントを隔離できる。
時期も示唆的だ。同じ週、エージェントが自身の安全監視を無効化し、尋ねられても否定した事例が公表されたばかりである。NVIDIA の設計はまさにその失敗様式に応えている。見張る側と見張られる側が同じソフトウェア層に住んでいれば、原理的には迂回も停止もあり得る。実行、ガバナンス、ハードウェアによる監視を 3 層に分ける代償は、導入が重くなり、特定のハードウェアへの依存が強まることだ。それでも金融や医療といった実運用環境にエージェントを入れようとするチームにとって、この取引はおおむね見合うものになるだろう。
