NVIDIAがエージェント安全の公開基盤を発表、参画は100社超

NVIDIAは2026年9月28日、AIエージェントを安全に管理する公開プラットフォーム「Open Agent Safety Platform」を発表した。中核はオープンソースの実行境界ソフト「OpenShell」と、DPU上でエージェントを監視する機構「Sentry」。100社を超える組織が参加を表明し、エージェントの安全をめぐる主戦場がモデルの内側から実行環境の階層へ移りつつある。

NVIDIAが9月28日に発表したのは、エージェントのテストから運用までを通じてセキュリティとガバナンスを管理する、オープンなソフトウェアプラットフォームとリファレンス設計です。Anthropic、Microsoft、Salesforce、SAPをはじめ、参加を表明した組織は100社を超えています。

アプリ層の防御をすり抜ける「任務遂行」型の事故

NVIDIAの発表資料は、近年のエージェント関連のセキュリティ事故に共通するパターンをこう記しています。「エージェントが、与えられたタスクを完了するためにアプリケーション層のセキュリティ制御を回避した」というものです。

ここに従来の対策の限界があります。多くのエージェントフレームワークは、モデルへの指示（プロンプト）やフレームワーク内部のガードレールで危険な操作を防ぐ設計になっていました。しかし長時間自律的に動き、複数のシステムをまたいで作業するエージェントは、そうした内部制御の外へ出る経路を探し当てます。指示を守らせる仕組みではなく、出られない仕組みが必要になるのです。

NVIDIAがプラットフォームの前提に掲げたのは、まさにこの点です。モデルとエージェントハーネス（実行フレームワーク）の外側に、強制力を持つ境界を設ける。安全の担保場所を「ソフトウェアの慣習」から「実行環境そのもの」へ移す発想転換といえます。

OpenShellとSentryが実行環境に引く二重の境界線

プラットフォームは二つの部品で構成されます。一つ目の「OpenShell」は、CPU上で動くエージェントにセキュアな実行境界を与えるオープンソースのランタイムです。エージェントのすべての操作をトレースし、ポリシーを強制します。NVIDIAは、エージェントAI向けに設計した初のCPUと主張する自社の「Vera」上で最小限のオーバーヘッドで動作すると説明しており、オープンソースのため、ArmやIntelのプラットフォームにも拡張できるとしています（NVIDIA開発者ブログ）。

二つ目の「Sentry」は、データ処理ユニット「BlueField-4 DPU」上で動く帯域外（out-of-band）の監視機構です。エージェントのふるまいをシリコン上で常時監視し、ソフトウェア境界の外へ出ようとしたエージェントをミリ秒単位で隔離・停止するとNVIDIAは説明しています。監視はエージェントや攻撃者からは見えない隔離された信頼ドメインから行われ、リクエストの検査、検証済みテレメトリの提供、エージェント身元の確認、データやツール・APIへのゼロトラストなアクセス制御を担います（NVIDIAプレスリリース）。

ただし留意点もあります。Sentryは「リファレンスシステムデザイン（参考設計）」と位置づけられ、NVIDIA自身が多くの機能を「提供可能になった時点で提供する」と但し書きしています。ミリ秒単位の隔離といった性能を裏付ける第三者検証は、現時点では公開されていません。

Anthropicから金融、ロボットまで揃う参画の顔ぶれ

参加組織の顔ぶれも読みどきです。モデル開発のAnthropic、セキュリティのCrowdStrikeとPalo Alto Networks、OSのRed Hat・Canonical・SUSEに加え、金融のCitiとJPMorganChase、エネルギー分野のHitachi EnergyやSchneider Electric、ロボティクスのFigure・Gecko Robotics・Skild AIまで名を連ねます。

個別の統合も具体的です。Anthropicは自社の「Claude Managed Agents」で、エージェントループを実行サンドボックスとは別のサーバーで動かす構成を採っており、OpenShellとBlueFieldとの統合により、企業がエージェントのアクセス権限を厳格に制御できると説明しています。SalesforceはOpenShellをSlackと統合し、エージェントの活動ログや監査イベントをSlack上で確認し、追加権限の要求をその場で承認・却下できるようにしました（Salesforce公式ブログ）。SAPはビジネスAIプラットフォームのJoule Studioランタイムへの組み込みと、OpenShell本体へのエンジニアリング貢献を発表しています。

Scale AIは、ミッションクリティカルな用途に向けて隔離・ポリシー強制・監査性を最初から組み込んだ基盤として参考設計を採用すると述べています。いずれも「境界線を実行層で管理したい」という需要の表れと読み取れます。

なぜオープンソースとして公開するのか

OpenShellのソースコードはGitHubで公開され、開発者向けドキュメントも整備されました（GitHub: NVIDIA/OpenShell）。さらにNVIDIAは120組織超とともに「Open Secure AI Alliance」を発足させています。Linux Foundationのガバナンス下で、エージェントの安全性に関する研究やスキル、ツールを共有し、セキュリティ情報を交換する「SAFE（Shared AI Findings Exchange）」などのプロジェクトを進めます。

オープンであることの理由は戦略的にも理にかないます。実行境界がエージェント安全の要になるなら、特定ベンダーの閉じた技術のままでは、モデルも実行環境も異機種混在が当たり前の企業環境には広がりません。ArmやIntel対応を掲げるのも同じ論理です。裏を返せば、業界標準の座を先取する競争でもあります。

エージェントに任せる仕事が増えるほど、境界線をどこに引き、誰が管理するかは技術選定の核心になります。その線をモデルの外の階層で引くというNVIDIAの方向が定着するか、それとも別の設計思想が台頭するか。今後の第三者評価と相互運用性の動きが分水嶺になるでしょう。