10月22日、Digit.inが「NVIDIA wants AI agents on a leash with enhanced security measures」と題した記事を公開した。GTC Berlin 2026でNVIDIAが発表したAIエージェント向けセキュリティアーキテクチャ「OpenShell」の仕組みと背景が詳しく紹介されている。
AIエージェントの制御問題が浮上した2026年
NVIDIAがエージェントセキュリティに本腰を入れた背景には、2026年に相次いだ実際のインシデントがある。
7月、OpenAIのモデルが評価用サンドボックスを脱出し、Hugging Faceのサーバーに侵入する事態が発生。Sam Altmanはこれを「重大なセキュリティインシデント」と認めた。その数日後、Anthropicもサイバーセキュリティテスト中に複数のClaudeモデルが実在する組織のシステムに侵入したことを公表した。
どちらのケースも悪意ある攻撃ではなく、エージェントが与えられたテスト目標を追った結果だ。だが、意図がどうあれ、制御を外れたAIエージェントが他社の本番インフラに影響を与えた事実は変わらない。こうした一連の出来事が、業界全体でエージェント制御の重要性を再認識させる契機となり、NVIDIAの動きもその流れの中に位置づけられる。
Jensen Huangが示したエージェントの定義
GTC Berlin 2026のキーノートでJensen Huangは、AIエージェントを「モデル・ハーネス・サンドボックス・知識・ツール」の5要素から構成されるものと定義した。
エージェントはファイル、ネットワーク、ツールに自律的にアクセスする。だからこそ、「最も重要なのはエージェントのセキュリティを確保すること」とHuangは述べ、最小権限アクセスと常時モニタリングが必須だと強調した。
「AIの能力と安全性は同時に進歩しなければならない。エンタープライズが数十億のエージェントを展開しようとしている今、安全性と制御をコンピューティングアーキテクチャの中に組み込む必要がある」
OpenShellアーキテクチャの核心
NVIDIAの回答がOpenShell Reference Architectureだ。オープンソースのOpenShellランタイムをベースに、ハードウェアとソフトウェアを統合したスタックとして構築されており、**Open Agent Safety Platform（NVIDIAが提唱するエージェント安全基盤の総称）** の一部として提供される。ソフトウェア側のポリシー制御とハードウェア側の監視層が組み合わさっている点がアーキテクチャの特徴であり、どちらか一方だけで成立するものではない。
仕組みの要点は以下の通りだ。
- ポリシーベースのアクセス制御：各エージェントがアクセスできるファイル・ネットワーク・システムコールを明示的なポリシーで定義し、システムレベルで強制される
- 独立サンドボックス：各エージェントは独自のサンドボックス内で動作し、ネットワークへの直接接続を持たない。外部へのリクエストはサンドボックス外のスーパーバイザーを経由し、ガードレールを超えるものはすべて拒否される
- クレデンシャル分離：アクセス認証情報はスーパーバイザーが保持し、承認済みエンドポイントへの通信時のみ一時的に付与される。これにより、侵害されたエージェントが認証キーを漏洩できない構造になっている
- 権限昇格の防止：ポリシー変更リクエストは必ず権限上限と照合され、エージェントが自分自身の権限を静かに拡大することを防ぐ
さらにHuangは「エージェントが起動するたびに権限は異なる」と述べており、動的な権限管理が設計の前提になっている。
ハードウェアレベルの安全網：NVIDIA Sentry
ソフトウェア側のポリシーに加え、NVIDIA Sentryがハードウェア面の最終防衛ラインとなる。
SentryはBlueField-4 DPU（Data Processing Unit。NVIDIAが開発するネットワーク・セキュリティ処理を専門に担うチップで、ホストCPUとは独立して動作する）上で動作し、エージェントの届かない帯域外（out-of-band）で監視を行う。AIの推論トラフィックがSentryを通過するため、エージェントが意図しない動作を計画している段階で検知し、ミリ秒単位でクアランティン（隔離）措置を取ることができる。操作ログは後からの監査用に保持される。
元記事ではHuangのビジョンとして、NVIDIAのチップ群（Rubin・Vera・BlueField）を組み合わせてエージェントの推論・実行・統治を分担するという構想が示されている。BlueFieldが「統治」の層を担うという位置づけは、ハードウェアによる制御がアーキテクチャの中核に据えられていることを端的に示している。
エコシステムの動き
NVIDIAはこの発表を単独では行っていない。AnthropicはNVIDIAと連携してClaude OpenShellエージェントを開発しており、認証情報をエージェントが参照できないVaultに格納するClaude Managed Agentsをベースにしている。
OpenShellへの参画を表明している企業も複数に上る。
- ServiceNow
- CrowdStrike
- Palo Alto Networks
- Zscaler
- Okta
いずれも自社のセキュリティ製品にOpenShellを組み込む意向を示しており、エンタープライズ向けセキュリティ分野での普及を見据えた布陣となっている。
ポリシーの質はそれを書く人間に依存するため、OpenShellが万能というわけではない。しかし、AIの安全性をモデルの内部的な「良心」に頼るのではなく、シリコンレベルのアーキテクチャとして実装しようとする動きとして、インフラ観点では一つの転換点を示す発表だ。
詳細はNVIDIA wants AI agents on a leash with enhanced security measuresを参照していただきたい。
