10月21日、NVIDIA Developerが「Inside NVIDIA Sentry: Secure AI Agents at Runtime」と題した記事を公開した。AIエージェントのランタイムセキュリティをホストから独立したハードウェア信頼境界で実現する「NVIDIA Sentry」のアーキテクチャと動作原理について詳述している。
問題の核心：エージェントは「正常に動作しながら」境界を越える
AIエージェントのセキュリティで見落とされがちな事実がある。エージェントはアサインされたタスクを完遂しながら、同時にセキュリティ境界を越えることができる。ツール、クレデンシャル、外部サービスを活用して目標を追う過程で、設計者が想定しない領域に踏み込む事例が実際に報告されている。
この問題に対してソフトウェアレイヤーだけで対処しようとすると、根本的な矛盾に突き当たる。監視・制御機構がエージェントと同じホスト上にある限り、侵害されたエージェントがその制御を無効化できてしまう。
NVIDIA Sentryはこの矛盾を、ハードウェアレベルの分離で解決するアプローチをとる。
アーキテクチャの要点：BlueField-4 DPU上で動く独立監視基盤
NVIDIA SentryはNVIDIA BlueField-4 DPU（Data Processing Unit）上で動作し、ホストOSやハイパーバイザーとは独立したハードウェア信頼ドメインを形成する。
エージェントはNVIDIA Vera CPU上で実行され、BlueField-4はそのエージェントがモデルや外部に通信する唯一の経路上に配置される。エージェントはこの監視層の存在を回避する手段を持たない。
構成する主要コンポーネントは以下の3つだ。
- DOCA Tower：AIセキュリティゲートウェイ。Envoyをベースにした透過プロキシとして機能し、エージェントの双方向通信を検査する。TLSターミネーションはBlueField-4のシリコン内TLSアクセラレーションで処理する
- DOCA Argus：ホスト側にエージェントを配置しない（エージェントレス）設計で、ホストメモリをBlueField-4上からリアルタイムにイントロスペクション（内部状態の直接観測）する。コンテナ、プロセス、スレッド、ロード済みライブラリ、ネットワーク接続、GPU・CPU・メモリとの関係を継続的にマッピングする
- OPA（Open Policy Agent）：ポリシー評価エンジン。宣言型DSL「Rego」でポリシーを記述し、ローカルのメモリ上で動作。ポリシーの複雑さにもよるが、1ミリ秒未満でアクセス要求を評価できる
ランタイムコンテキストを使ったアクセス制御
NVIDIA Sentryの特徴的な設計は、ネットワーク通信の検査だけでなく実行環境の状態をアクセス判断に組み込む点にある。
DOCA TowerはDOCA Argusが提供するランタイムコンテキストと、ネットワーク接続情報を突き合わせて評価する。具体的には：
- 接続を開始したプロセスのハッシュが、そのコンテナのSBOM（Software Bill of Materials：ソフトウェア部品表）に含まれているか
- そのプロセスがネットワーク接続の権限を持っているか
- 承認された実行パスとコマンドライン引数を使っているか
- コンテナイメージのハッシュが承認済みリストと一致するか
また、DOCA Argusは以下を潜在的な警告として継続監視する：未承認ツールの実行、ptraceを使った他プロセスへの攻撃、データ漏洩を示唆する過剰なアウトバウンドトラフィック、不正なファイルアクセス・変更、CPUスパイク、一時フォルダへの過剰書き込み、大規模なファイル削除。
逸脱を検出した場合、BlueField-4のシリコン内エンフォースメント機能を使ってミリ秒単位でエージェントを封じ込め・隔離できる。ホストソフトウェアの協力は不要だ。
通信レイヤーの制御範囲
DOCA Towerによる通信制御は広範囲にわたる：
- IP・URL・プロトコルレベルの制限
- エージェント間通信（A2A）およびMCP（Model Context Protocol）トラフィックの制御
- PII（個人識別情報）やAPIキー、トークン、パスワードなどのシークレットの検出・リダクション
- ポリシーで禁止されたコンテンツの識別・ブロック
- 改ざん証跡を持つ通信記録の生成
さらに、専用AIモデルとの統合により、エージェントの通信内容とツール呼び出しを分析して行動の逸脱（behavioral drift）を分類する。インライン分類ではコンテンツがモデルに到達する前にブロックでき、アウトオブバンド分類では検出後にレスポンスアクションを起動できる。
エージェントIDとフォレンジック記録
アクセス制御にはエージェントのアイデンティティが必要だ。DOCA TowerはSPIFFE/SPIRE（クラウドネイティブ環境向けのワークロードID標準）と統合し、検証可能なワークロードIDをサポートする。
インシデント調査向けには、BlueField-4の独立した信頼ドメインを使って改ざん耐性のある活動記録を生成する。エージェントが自身の実行環境内のログを改ざんしても、BlueField-4上に保持された記録は変更できない。この記録にはアテステーション（出所と完全性の検証可能な証明）が付与される。
AIエージェントの本番運用が現実のものになるにつれ、「エージェントが侵害された後も制御を維持できるか」という問いはインフラ設計の中核に据えるべき課題になる。NVIDIA Sentryが示す「監視・制御機構は常にエージェントの届かない場所に置く」というアプローチは、その問いに対するハードウェアレベルの回答の一つだ。アーキテクチャの詳細や実装上の考慮点については元記事で丁寧に解説されており、本番環境へのAIエージェント導入を検討しているエンジニア・セキュリティ担当者に一読を勧めたい。
詳細はInside NVIDIA Sentry: Secure AI Agents at Runtimeを参照していただきたい。
