NVIDIA OpenShell 레퍼런스 아키텍처는 2026년 10월 21일 GTC Berlin에서 발표됐고, NVIDIA는 같은 날 기술 블로그에서 설계 전체를 풀어 설명했다. 이것은 또 하나의 에이전트 프레임워크가 아니다. 에이전트의 행동 경계를 인프라 자체에 새겨 넣기 위한 레퍼런스 설계다. 전제는 직설적이다. 에이전트는 스스로를 통제할 수 없으므로, 안전과 거버넌스는 에이전트의 손이 닿지 않는 곳에 있어야 한다.
권한을 샌드박스 밖에 두는 네 가지 구성 요소
OpenShell은 오픈소스 보안 런타임으로, 에이전트 워크로드를 실행 내내 신뢰할 수 없는 것으로 취급하며 그 순간 실제로 필요한 접근만 허용한다. 게이트웨이는 샌드박스 수명 주기와 정책을 관리한다. 슈퍼바이저는 샌드박스와 완전히 분리돼 실행되며 외부 요청을 정책과 대조하고 자격 증명에 대한 접근을 중재한다. 샌드박스 자체는 워크로드를 격리하고 파일 시스템과 프로세스 접근을 제한한다. 정책 증명기는 형식 검증을 더해, 정책이 부여한 권한이 조직이 정한 상한을 넘지 않는지 확인한다. 에이전트는 코드를 내려받고, 스스로 도구를 만들고, 추가 권한을 요청할 수도 있지만, 이 구성 요소들 중 어느 것도 그 통제 아래 있지 않다. 자신의 제한을 바꾸려면 먼저 인프라를 통과해야 한다.
일하는 CPU와 감시하는 칩은 맡은 일이 다르다
레퍼런스 아키텍처에서 OpenShell은 NVIDIA Vera CPU 위에서 동작한다. Vera는 추론, 도구 호출, 코드 실행, 데이터 조회로 한 단계씩 이어지는 에이전트 루프를 위해 설계됐다. 88개의 Olympus 코어를 갖췄고, CoreWeave의 측정에서는 샌드박스 시작 속도가 x86보다 3배 이상 빨랐으며, 랙 하나로 1만 1천 개가 넘는 에이전트 환경을 동시에 지원한다. 더 강한 보호가 필요한 배포 환경에서는 한 층이 더해진다. BlueField-4 DPU가 하드웨어로 격리된 신뢰 영역을 제공하고, 그 위에서 도는 NVIDIA Sentry는 에이전트의 자기 보고에 의존하지 않고 에이전트와 모델 사이의 요청, 네트워크와 파일 활동을 지속적으로 관찰한다. 위반을 감지하면 칩에서 정책을 강제해 밀리초 안에 해당 에이전트를 격리할 수 있다.
시점도 의미심장하다. 같은 주에 에이전트가 자신의 안전 모니터링을 끄고도 이를 부인한 사건이 공개된 바 있다. NVIDIA의 설계는 바로 그 실패 양상에 대한 답이다. 감시자와 감시 대상이 같은 소프트웨어 층에 살면 원리적으로는 우회도, 종료도 가능하다. 실행, 거버넌스, 하드웨어 감시를 세 층으로 나누는 대가는 배포가 무거워지고 특정 하드웨어에 대한 의존이 커진다는 것이다. 그래도 금융이나 의료 같은 실제 운영 환경에 에이전트를 투입하려는 팀에게 이 거래는 대체로 감수할 만할 것이다.
