Nvidia combina isolamento software e sorveglianza hardware per contenere gli agenti di IA

Una piattaforma con controlli su due livelli

Nvidia ha presentato il 28 settembre 2026 la Open Agent Safety Platform, una proposta che combina strumenti software e un'architettura di riferimento hardware per stabilire controlli sugli agenti di intelligenza artificiale. La piattaforma è composta da OpenShell, un runtime open source, e Sentry, un meccanismo di sorveglianza progettato per essere eseguito sulle unità di elaborazione dei dati BlueField-4.

L'idea centrale è distribuire la sicurezza al di fuori dell'agente stesso. OpenShell applica limiti di esecuzione tramite software; Sentry aggiunge una supervisione indipendente dall'infrastruttura. Nvidia sostiene che le organizzazioni possano adottare parti della piattaforma in base alle proprie esigenze, il che significa che l'uso di OpenShell non implica necessariamente il dispiegamento di Sentry né la disponibilità di BlueField-4.

È importante separare l'annuncio dalla sua valutazione: la documentazione ufficiale descrive l'architettura e le capacità previste, ma non fornisce di per sé un confronto indipendente che permetta di misurarne l'efficacia rispetto ad altri controlli o contro tutti gli attacchi possibili. L'affermazione che Sentry possa intervenire in millisecondi va intesa all'interno del design annunciato, non come garanzia universale.

OpenShell pone limiti a ciò che l'agente può fare

OpenShell crea un ambiente di esecuzione isolato e applica politiche sulle azioni e sulle risorse disponibili per un agente. Secondo la documentazione di Nvidia, questi controlli possono coprire file, connessioni di rete e operazioni di sistema. La piattaforma è anche pensata per gestire in modo restrittivo l'accesso alle credenziali, in modo che l'agente non debba riceverle direttamente per ogni compito.

La differenza rispetto a un'istruzione scritta nel prompt è di posizione e di conformità. Un'indicazione come «non accedere a questa cartella» dipende dal fatto che il modello la rispetti. Un controllo applicato dall'ambiente di esecuzione può restringere l'accesso indipendentemente da quell'istruzione. Questo aggiunge una barriera tecnica, sebbene il suo ambito dipenda da come è configurato e da quali risorse rimangono autorizzate.

Nvidia indica che OpenShell è open source e può essere esteso per funzionare su piattaforme di terze parti, incluse Arm e Intel. L'azienda lo presenta anche come ampiamente disponibile. Questa disponibilità del componente software non deve essere confusa con la disponibilità dell'intero sistema integrato né con la necessità di hardware specifico per Sentry.

Sentry aggiunge sorveglianza da una DPU

Sentry è un'architettura di riferimento che, secondo Nvidia, funziona sulle DPU BlueField-4 e supervisiona continuamente l'attività degli agenti da un ambiente separato. L'azienda descrive la sua funzione come l'ispezione di richieste e risposte, la verifica dell'identità dell'agente, la generazione di telemetria e l'applicazione di politiche di accesso a dati, strumenti, interfacce e servizi.

La separazione mira a garantire che la supervisione non dipenda esclusivamente dal software che esegue l'agente. Se un'operazione tenta di superare i limiti definiti, Nvidia afferma che Sentry può mettere l'agente in quarantena e fermarlo in millisecondi. La frase descrive la velocità annunciata per l'intervento una volta identificata una violazione; non specifica di per sé quanto tempo ci vuole per riconoscere un'attività pericolosa né quali segnali bastano per rilevarla.

In termini pratici, Sentry introduce un requisito diverso da quello di OpenShell: la sua architettura è legata a BlueField-4. Per questo, la possibilità di adottare OpenShell su altre piattaforme non deve essere trasferita automaticamente a Sentry. Il materiale disponibile non risolve nemmeno tutte le condizioni di dispiegamento, compatibilità e disponibilità commerciale per ogni configurazione.

Millisecondi di contenimento non significano rilevazione istantanea

L'annuncio di Nvidia attribuisce a Sentry la capacità di mettere in quarantena un agente in millisecondi quando tenta di uscire dai suoi limiti. Tuttavia, la velocità di risposta e la velocità di rilevazione sono misure diverse. Per valutare la protezione servono dati su entrambe: quando viene riconosciuto il comportamento problematico e quanto tempo ci vuole per applicare il blocco da quel momento.

Un agente può avere credenziali valide e compiere un'azione che sembra legittima dal punto di vista tecnico, anche se il risultato è inappropriato. Può anche avviare operazioni prima che venga attivata la quarantena. Pertanto, conoscere solo il tempo di intervento non basta per determinare cosa può accadere prima del blocco, quali dati potrebbero essere stati consultati o quali modifiche potrebbero essere state effettuate.

La valutazione richiede condizioni concrete: risorse collegate, permessi concessi, politiche configurate, posizione dell'agente e criteri di rilevazione. Senza queste informazioni, la cifra dei millisecondi non consente di confrontare dispiegamenti diversi né di anticipare risultati in un'organizzazione specifica.

Cosa può restare fuori dalla protezione

I controlli infrastrutturali possono limitare le azioni, ma non garantiscono che l'agente interpreti correttamente un compito, produca risposte affidabili o prenda buone decisioni all'interno dello spazio autorizzato. Un agente che lavora nel suo sandbox può ancora commettere errori con conseguenze, generare risultati errati o utilizzare in modo dannoso permessi legittimi.

Resta aperta anche la risposta a agenti ingannati o che nascondono le loro intenzioni. Le fonti critiche indicano che una sorveglianza basata su segnali comportamentali potrebbe non bastare se l'agente finge di agire legittimamente o se il danno inizia prima che venga attivata la quarantena. Questo non prova una vulnerabilità specifica di Sentry: indica che l'annuncio non dimostra una copertura sufficiente di quegli scenari.

Le politiche contano anche. Una regola troppo permissiva può lasciar passare azioni indesiderate; una regola troppo rigida può interrompere compiti legittimi. La protezione dipende, quindi, dalla corretta definizione dei limiti, dal mantenerli aggiornati e dal verificare come interagiscono con i permessi, gli strumenti e i servizi collegati.

Quali test servono per giudicarne l'efficacia

La documentazione ufficiale spiega componenti, scopo e architettura, e indica che OpenShell è disponibile come software open source. Questo permette di esaminare il progetto e adattare il componente software, ma non equivale a una validazione indipendente della piattaforma completa. Nelle informazioni disponibili non viene fornito un confronto riproducibile, in condizioni equivalenti, con strumenti di sicurezza esistenti.

Una valutazione utile dovrebbe pubblicare la configurazione testata, le politiche, i modelli e gli strumenti collegati, le classi di attacchi, i criteri di rilevazione e le misure di latenza. Dovrebbe anche registrare falsi positivi e falsi negativi, nonché le azioni che l'agente è riuscito a completare prima di essere isolato. Senza questi dati non è possibile trasformare un'affermazione del produttore in una stima generale di efficacia.

Per le organizzazioni interessate, la conclusione prudente è trattare OpenShell e Sentry come livelli di controllo annunciati che richiedono configurazione e validazione proprie. Prima di adottarli, è opportuno confermare cosa è disponibile per l'ambiente specifico, quale hardware richiede Sentry, quali risorse rimangono all'interno del perimetro di sorveglianza e quale evidenza indipendente esista per gli scenari d'uso previsti.

Continua a esplorare

Correzioni e trasparenza

Se trovi un dato errato o non aggiornato, inviaci la pagina e la fonte da verificare.