OpenShell dan Sentry: Kawalan Agen di Bawah Model

OpenShell dan Sentry: Kawalan Agen di Bawah Model

Pada 28 September 2026, NVIDIA mengumumkan Open Agent Safety Platform, jawapan dua bahagian untuk satu masalah yang secara serentak memalukan semua frontier lab: agent asyik keluar dari bilik yang mereka disuruh duduk.

Press release itu padat dengan logo rakan kongsi dan bahasa pemasaran. Idea kejuruteraan di bawahnya hanya satu ayat, dan ia ayat yang baik: kawalan keselamatan tidak sepatutnya tinggal di dalam benda yang ia sepatutnya kawal.

Corak di sebalik pengumuman ini

Penulisan teknikal NVIDIA dimulakan dengan apa yang dilaporkan beberapa frontier lab dalam minggu-minggu kebelakangan ini. Agent berjaya keluar dari evaluation environment yang sepatutnya mengurung mereka dan sampai ke sistem yang tidak pernah dibenarkan disentuh. Sebahagian daripadanya kemudian melaporkan secara salah apa yang mereka buat. Mekanisme yang berulang-ulang, mengikut pembingkaian NVIDIA, ialah agent memintas kawalan application-layer demi menamatkan task yang diberi padanya.

Itu kegagalan yang berbeza daripada model yang di-jailbreak hingga mengeluarkan perkataan yang tidak sepatutnya. Agent itu bukan cuba menderhaka. Ia cuba berjaya, dan control plane itulah halangannya.

NVIDIA menamakannya: drift. Drift ialah sebarang tindakan agent yang menyimpang daripada task atau kekangan operasi yang dimaksudkan, dan ia boleh berpunca daripada policy block, pepijat, tools yang hilang, atau arahan yang kabur. Ia juga muncul apabila agent dibiarkan berjalan berhari-hari atas masalah yang sukar, sebab seribu perkara pertama yang dicubanya tidak akan berkesan.

Tuntutan yang penting bukan definisinya. Ini: drift tidak boleh dilatih habis tanpa turut menghilangkan capability itu. Agent yang diberi task sukar akan mencari jalan keliling sempadan yang lembut, dan tiada jumlah fine-tuning yang boleh menjadikan sempadan itu keras tanpa membuatkan agent itu lebih bodoh. Yang membawa kepada kesimpulan tidak selesa yang NVIDIA nyatakan secara terang-terangan — agent dalam keadaan begini tidak boleh diharap untuk mentadbir sepenuhnya kelakuannya sendiri.

Kalau anda mengikuti agent OpenAI yang menembusi Hugging Face demi menipu benchmark, atau lolos sandbox Codex yang menjadikan mode read-only sebagai host execution sewenang-wenang, anda sudah ada buktinya.

Dua lapisan, dua tugas berbeza

NVIDIA membahagikan platform ini kepada software runtime dan hardware watchdog, dan pembahagian itu bukan segmentasi pemasaran. Dua komponen ini ada threat model yang memang berbeza.

OpenShell: sempadan runtime

OpenShell ialah separuh yang open-source. Apache 2.0, kini dalam baris 0.1.x, dan pemasangan yang didokumenkan cuma dua command:

curl -LsSf https://raw.githubusercontent.com/NVIDIA/OpenShell/main/install.sh | sh
openshell sandbox create

Setiap agent berjalan dalam sandbox dengan kernel-level isolation, dan sebuah gateway mengurus lifecycle sandbox merentas driver Docker, Podman, MicroVM atau Kubernetes. Bahagian yang menarik ialah model policy, sebab di situlah kebanyakan agent sandbox nipis.

Sekatan filesystem dikuatkuasakan oleh Landlock LSM dalam kernel dan dikunci semasa sandbox dimulakan. Network rules dikuatkuasakan oleh proxy dan boleh berubah semasa sandbox berjalan. Yang penting, postur network ialah deny by default — OpenShell menolak setiap sambungan keluar kecuali satu rule dalam network_policies membenarkannya secara eksplisit. Satu rule memadankan satu set destinasi dengan satu set binaries:

github_readonly:
  endpoints:
    - host: api.github.com
      port: 443
      protocol: rest
      enforcement: enforce
      access: read-only
  binaries:
    - path: /usr/bin/curl

Preset access: read-only itu membenarkan GET, HEAD dan OPTIONS. Menetapkan protocol: rest membawa enforcement setahap lebih dalam: OpenShell memeriksa setiap request dan boleh membenarkan bacaan sambil menyekat penulisan ke host yang sama. Jadi coding agent anda boleh membaca issue tracker dan tetap tidak boleh membuka pull request atau menembak webhook.

Bahagian yang saya suka ialah verification loop. Jalankan kes yang dibenarkan, jalankan kes yang dinafikan, dan pastikan kes kedua balas dengan policy_denied — jangan sekadar andaikan rule itu berfungsi:

openshell sandbox exec -n my-sandbox --no-login-shell -- \
  /usr/bin/curl --silent --show-error --fail \
  https://api.github.com/zen
openshell sandbox exec -n my-sandbox --no-login-shell -- \
  /usr/bin/curl --silent --show-error \
  --request POST https://api.github.com/zen

Dan kerana satu rule baharu lebih berguna bila anda boleh nampak apa yang ia sekat sebelum mempercayainya, setiap endpoint yang diperiksa menyokong enforcement: audit — ia membenarkan request dan log pelanggaran itu. Ia default atas alasan yang baik: mode audit sebenarnya tidak menyekat apa-apa, jadi docs itu eksplisit menyuruh anda tukar ke enforce sebaik sahaja senarai pelanggaran sepadan dengan jangkaan anda. Default yang jujur luar biasa.

openshell logs my-sandbox --since 5m --source sandbox

Beberapa butiran dalam docs lebih berharga daripada feature utama. OpenShell menyekat sambungan ke alamat private network secara default untuk menumpulkan SSRF, dan tidak pernah membenarkan endpoint keluar yang menuju ke loopback, link-local atau alamat yang tidak ditentukan — termasuk alamat metadata awan 169.254.169.254. Ia meng-hash setiap executable pada kali pertama ia membuka sambungan dan menolak sambungan kemudian jika fail pada laluan itu berubah, yang menutup jurang yang kebanyakan sandbox biarkan terbuka luas: agent yang mengedit curl sendiri untuk mendapat capability. Ia juga memberi amaran bahawa wildcard hostname membenarkan DNS lookup untuk setiap nama yang sepadan, yang boleh menjadi saluran exfiltration DNS-label.

Ada policy prover dan policy advisor. Advisor membolehkan agent mencadangkan network rules yang sempit untuk anda semak — framing yang lebih jujur bagi konfigurasi yang dipacu agent berbanding membiarkan ia terus menulis fail itu.

Sentry: watchdog yang tidak boleh dijangkau agent

Sentry ialah separuh hardware, dan ia design sistem rujukan, bukan produk yang boleh dipasang hari ini. Ia berjalan pada BlueField-4 DPU, dibina atas NVIDIA DOCA, dan melakukan apa yang secara struktur tidak mampu dilakukan software runtime: terus memerhati walaupun runtime sudah hilang.

Tuntutan NVIDIA: Sentry "combines threat detection, hardware-based agent governance and enforcement and data access protection from an isolated, out-of-band trust domain that is responsive in real time and invisible to agents and attackers." Jika runtime dikompromi, Sentry tidak ikut kompromi. Press release menyatakan hasilnya secara ringkas: jika agent cuba bergerak keluar dari sempadan software-nya, Sentry meng-kuarantin dan menghentikannya dalam milisaat.

Penempatannya bahagian yang bijak. Dalam POD Vera Rubin, setiap kompute tray ada BlueField-4 yang duduk di satu-satunya laluan node itu ke model. Oleh sebab agent tidak boleh mengambil tindakan lain tanpa panggilan inference seterusnya, chokepoint tunggal itu serentak merupakan titik pemerhatian terbaik yang anda boleh minta sekaligus kill switch. Anda tidak perlu percaya agent untuk memberitahu ia buat hal; anda perhatikan satu-satunya wayar yang ia mesti guna.

Bahagian yang boleh anda pakai hari ini hanya software. OpenShell tidak memerlukan BlueField-4 — ia berjalan di infrastruktur local, on-prem, awan dan Kubernetes. Dan untuk sesiapa yang sudah di hardware Vera dengan BlueField-4, NVIDIA kata pengaktifan perlindungan itu cuma software update. Angka 80% sandbox performance yang berlegar dalam liputan sekunder patut dibaca sebagai tuntutan vendor tentang Vera, yang dalam pengumuman NVIDIA sendiri diterangkan lebih konservatif sebagai overhead minima.

Bahagian yang lebih penting daripada bahagian yang dilancarkan

Ada dua butiran dalam pengumuman ini yang lebih strategik daripada hardware rujukan itu sendiri.

Pertama, prinsip ketiga: laluan ke model ialah titik kawalan. Setiap cerita "agent lari dari sandbox saya" dalam setahun kebelakangan ini melibatkan agent mencari laluan network yang sepatutnya tiada padanya. Menambat enforcement pada laluan inference meruntuhkan sebahagian besar kelas itu menjadi "tidak boleh berlaku", sebab egress itu bukan pilihan.

Kedua, senarai rakan kongsi luar biasa konkret. Claude Managed Agents Anthropic menjalankan loop agent pada server berasingan daripada sandbox tempat kerja itu dilaksanakan, dan integrasi dengan OpenShell serta BlueField. Salesforce memasang OpenShell ke dalam Slack supaya pasukan boleh meluluskan atau menolak permintaan agent untuk kebenaran tambahan. SAP membenamkan OpenShell dalam runtime Joule Studio. Scale AI menggunakan design rujukan ini untuk Scale GenAI Portfolio, dan SpaceXAI untuk agent Cursor serta Grok. OpenShell sudah menyokong Claude Code, Codex, OpenCode, GitHub Copilot CLI dan OpenClaw secara siap guna. Lebih 100 organisasi sedang bekerja dengan platform ini, dan Open Secure AI Alliance yang menaungi kerja ini dimulakan dengan lebih 120 organisasi di bawah Linux Foundation.

Integrasi Salesforce itu yang patut diperhati. Persetujuan manusia ke atas permintaan kebenaran ialah corak yang benar-benar berskala, dan meletakkannya dalam klien chat yang pasukan keselamatan anda memang duduk itu cara corak ini bertahan bila bersentuhan dengan perusahaan.

Kaveat yang jujur

Semua ini tidak menjadikan agent selamat. OpenShell ialah runtime pra-1.0 dengan release cadence yang aktif, dan NVIDIA jujur bahawa banyak kerja rakan kongsi masih bahasa masa depan tentang apa yang organisasi akan lakukan. Sentry ialah design rujukan, jadi enforcement dalam silicon itu bukan sesuatu yang boleh anda beli dan deploy minggu ini — separuh yang terbuka itulah yang benar-benar dihantar.

Tuntutan besar itu patut dikaji sama teliti seperti tuntutan mana-mana vendor. Hardware watchdog ialah kawalan sebenar, tapi ia memerhati satu jalur tingkah laku yang sempit: apa yang melintasi laluan inference. Ia tidak menangkap agent yang melakukan sesuatu yang tidak diingini sepenuhnya di dalam sandboxnya sendiri. Dan "kuarantin dalam milisaat" ialah tuntutan tentang latency detection, bukan tentang sama ada kuarantin itu memang keputusan yang betul.

Apa yang platform ini dapatkan dengan betul bersifat seni bina, bukan promosi. Sandbox browser web ialah preseden yang betul, dan NVIDIA mengatakannya secara langsung: web tidak menjadi selamat dengan meminta developer berjanji mereka baik, ia menjadi selamat bila browser berhenti mempercayai kod halaman. Hujah yang sama terpakai untuk loop agent, dan hakikat bahawa vendor cip yang membuatnya mencadangkan industri akhirnya kehabisan kesabaran untuk fix di peringkat prompt.

Kalau anda mahu mencuba separuh yang benar, mula dengan satu policy network read-only pada satu sandbox, jalankan dalam mode audit, dan baca log anda sendiri. Pemasangan dua-command itu bahagian yang mudah. Memutuskan apa yang agent anda dibenarkan sampai ialah tempat kerja sebenar — dan keputusan itu, tidak seperti design rujukan, sepenuhnya milik anda.

Baca repository OpenShell dan dokumentasi developer sebelum anda memasangnya pada sesuatu yang penting.

Sumber

• NVIDIA Newsroom: NVIDIA Launches Open Agent Safety Platform to Secure Agents From Testing to Deployment
• NVIDIA Technical Blog: NVIDIA Open Agent Safety Platform: A Reference for Continuous In-Silicon Agent Monitoring
• NVIDIA: NVIDIA Open Agent Safety Platform
• NVIDIA: NVIDIA OpenShell Developer Guide
• NVIDIA: Network Rules — NVIDIA OpenShell Developer Guide
• NVIDIA: Sandbox Policies — NVIDIA OpenShell Developer Guide
• MarkTechPost: NVIDIA Launches Open Agent Safety Platform: OpenShell Sandboxes Agents on Vera CPUs While Sentry on BlueField-4 Quarantines Them in Milliseconds