NVIDIA stellt Referenzarchitektur OpenShell für die Governance von KI-Agenten vor

NVIDIA hat am 21. Oktober 2026 auf der GTC Berlin die Referenzarchitektur OpenShell vorgestellt – ein ganzheitliches Design für die Entwicklung, Abschottung, Beobachtung und Durchsetzung sicherer KI-Agenten in Unternehmensinfrastrukturen und Edge-Systemen. Die Architektur ist ab sofort verfügbar.

Die Architektur baut auf der sicheren Open-Source-Runtime-Software OpenShell von NVIDIA auf und erweitert sie zu einer Infrastruktur im industriellen Maßstab für die Entwicklung und den Betrieb von Agenten. Sie vereint Vera-Rubin-Infrastruktur für die Ausführung von Unternehmens-Workloads, darunter geschlossene und offene Modelle auf Basis von NVIDIA Nemotron; Vera-CPUs für den Betrieb von Agenten-Frameworks; sowie BlueField-4-DPUs mit NVIDIA Sentry, einem Sicherheits-Framework, das Agentenverhalten kontinuierlich und außerhalb des Datenpfads überwacht und Richtlinien direkt im Silizium durchsetzt. Das Design erstreckt sich auch auf Agenten, die am Netzwerkrand auf RTX Spark-, DGX Spark- und DGX Station-Systemen in den Bereichen Einzelhandel, Gesundheitswesen, Fertigung, Robotik, Softwareentwicklung und Telekommunikation ausgeführt werden.

„Mit der Referenzarchitektur OpenShell können Agenten auf Rubin denken, auf Vera handeln und auf BlueField kontrolliert werden“, sagte Jensen Huang, Gründer und CEO von NVIDIA. Huang erklärte, Sicherheit und Kontrolle müssten in die Computerarchitektur integriert sein, während Unternehmen sich auf den Einsatz von Milliarden KI-Agenten vorbereiteten.

Ganzheitliche Infrastruktur für Agenten-Workloads

Das Herzstück der Vera-Rubin-Infrastruktur bilden Vera-Rubin-NVL72-Systeme, die NVIDIA als flexibel für Vortraining, Nachtraining und Inferenz einsetzbar beschreibt. Nach Angaben des Unternehmens bietet der NVL72 bei agentischen Workloads einen 30-mal höheren Durchsatz pro Megawatt. Vera-CPUs führen die OpenShell-Software aus, die eine sichere Laufzeitgrenze für autonome Agenten bereitstellt. Laut NVIDIA bieten sie die doppelte Leistung von x86-Prozessoren bei höherer Energieeffizienz.

Ein begleitender technischer Beitrag beschreibt Vera als CPU mit 88 von NVIDIA entwickelten Olympus-Kernen, einer Scalable Coherency Fabric der zweiten Generation, 96 PCIe-Gen-6-Lanes und einer LPDDR5X-Speicherbandbreite von bis zu 1,2 TB/s. NVIDIA zufolge bietet die Fabric bis zu dreimal mehr Bandbreite zwischen den Kernen und bis zu 50 % geringere Latenz zwischen den Kernen als x86-Alternativen. Außerdem soll Vera pro Watt doppelt so viel Leistung wie x86-CPUs liefern.

Laut dem Beitrag maß CoreWeave, eine KI-Cloud-Plattform, den Start von Sandbox-Umgebungen auf Vera als mehr als dreimal schneller als auf x86. Ein einzelnes Rack unterstütze dabei mehr als 11.000 gleichzeitig laufende Agentenumgebungen. Bei Terminal Bench, das die CPU-Leistung anhand realer Aufgaben in agentischen Schleifen misst, stellte CoreWeave fest, dass Vera bei Aufgaben von der Skripterstellung bis zur Datenbankwiederherstellung eine 1,8-mal höhere Leistung als x86 erbrachte.

BlueField-4-DPUs mit Sentry auf Basis der DOCA-Software von NVIDIA überwachen kontinuierlich das Verhalten von Agenten. Versucht ein Agent, seine Softwaregrenze zu verlassen, schottet Sentry ihn ab und stoppt ihn innerhalb von Millisekunden, so NVIDIA. Das Unternehmen gibt außerdem an, dass Sentry auf BlueField-4 die Agentenkapazität um bis zu 20 % erhöht.

So setzen OpenShell und Sentry Agentengrenzen durch

NVIDIA vertritt in seinem technischen Beitrag die Auffassung, dass ein Agent sich nicht selbst kontrollieren kann und Sicherheit sowie Governance daher in die Infrastruktur gehören, in der der Agent ausgeführt wird. OpenShell behandelt Agenten-Workloads während ihrer gesamten Ausführung als nicht vertrauenswürdig und gewährt einem Agenten nur dann Zugriff auf das, was er benötigt, wenn er es benötigt. Die Runtime besteht aus vier Komponenten: Gateway, einer Steuerungsebene, die den Lebenszyklus und die Richtlinien von Sandbox-Umgebungen verwaltet; Supervisor, der ausgehende Anfragen anhand der Richtlinien prüft und den Zugriff auf Zugangsdaten vermittelt, während er vollständig von der Sandbox getrennt ausgeführt wird; Sandbox, die den Agenten-Workload isoliert und den Zugriff auf Dateisystem und Prozesse beschränkt; sowie Policy Prover, der formale Verifikation einsetzt, um zu prüfen, ob die Berechtigungen einer Richtlinie innerhalb der von einer Organisation festgelegten Obergrenze bleiben.

In der Referenzarchitektur werden Agenten auf Vera-CPUs ausgeführt, während BlueField-4 den einzigen Pfad des Knotens zum Modell bildet. Dadurch kann Sentry die Kommunikation zwischen Agenten und Modell überprüfen, ohne darauf angewiesen zu sein, dass der Agent sein eigenes Verhalten meldet, wie ein ausführlicher technischer Überblick über das Framework erläutert. Sentry arbeitet in einer hardwareisolierten Vertrauensdomäne, die unabhängig von der Host-Software ist. Die Lösung ist darauf ausgelegt, ihre Überwachungs- und Durchsetzungsfunktionen auch dann aufrechtzuerhalten, wenn ein Agent aus seiner Sandbox ausbricht oder der Host kompromittiert wird.

DOCA Tower, das auf dem Open-Source-Proxy Envoy basierende KI-Sicherheitsgateway von Sentry, fungiert als transparenter Proxy für den Agentenverkehr und beendet TLS-Verbindungen im Silizium. DOCA Flow implementiert für jeden Agenten eine ebenfalls im Silizium beschleunigte Firewall auf Schicht 4. Sie blockiert Verbindungen zu nicht autorisierten Zielen und leitet zulässigen Datenverkehr zur Prüfung und Autorisierung auf Anwendungsebene an DOCA Tower weiter. Zugriffsanfragen werden anhand definierter Richtlinien mit der Open-Policy-Agent-Engine ausgewertet. Diese verwendet die Sprache Rego und kann Anfragen je nach Komplexität und Konfiguration der Richtlinie in weniger als einer Millisekunde prüfen.

DOCA Argus ergänzt den Laufzeitkontext durch die agentenlose Live-Inspektion des Arbeitsspeichers: Dabei werden ausgewählte Bereiche des flüchtigen Host-Arbeitsspeichers von BlueField-4 analysiert, ohne dass Agenten auf dem Host installiert sein müssen. Das System ordnet Container ihren Pods und Sandboxes ihren Micro-VMs zu und verfolgt Prozesse, Dateizugriffe, Netzwerkverbindungen und geladene Bibliotheken anhand ihres Hashes. So lassen sich Richtlinien durchsetzen, etwa dass der Hash eines Containers mit einer genehmigten Liste übereinstimmen muss oder dass ein initiierender Prozess in der Software-Stückliste des Containers aufgeführt sein muss. Zu den Warnsignalen, die Sentry bewertet, zählen die Ausführung nicht genehmigter Tools, der Einsatz von ptrace zum Angriff auf einen anderen Prozess, übermäßiger ausgehender Datenverkehr, unbefugte Dateizugriffe oder Dateiänderungen, CPU-Spitzen, übermäßige Schreibvorgänge in temporären Ordnern und das Löschen großer Dateimengen. Erkennt Sentry eine Abweichung, kann es eine Eindämmung auf Siliziumebene im Millisekundenbereich anfordern.

Sentry arbeitet außerdem mit spezialisierten KI-Modellen zusammen, die Agentenkommunikation inline oder außerhalb des Datenstroms klassifizieren, um Verhaltensabweichungen zu erkennen. Zudem erstellt Sentry auf BlueField-4 attestierte, manipulationssichere Aufzeichnungen, die forensische Untersuchungen und den Export an Sicherheitsplattformen von Unternehmen wie XDR- und SIEM-Systeme unterstützen. DOCA Tower integriert SPIFFE/SPIRE, um die Identität von Workloads verifizierbar zu machen. NVIDIA plant, Sentry Anfang nächsten Jahres verfügbar zu machen; DOCA-Bibliotheken und Microservices, darunter DOCA Argus, DOCA Flow und OVS-DOCA, stehen bereits jetzt zum Experimentieren bereit.

Partnerökosystem und Verfügbarkeit

Die OpenShell-Referenzarchitektur läuft auf Linux- und Kubernetes-Infrastrukturen von Canonical, SUSE und Red Hat, unter Microsoft Windows mit Microsoft Execution Containers sowie auf Cloud-Betriebssystemen von Amazon Web Services, Google Cloud und Microsoft Azure. Unternehmen können auf einer OpenShell-Infrastruktur Agenten von den Modellentwicklern Anthropic, Cohere, Google, Meta, OpenAI, Perplexity, Reflection und SpaceX Super Intelligence ausführen.

Die Cybersicherheitsanbieter 1Password, Check Point, CrowdStrike, Cisco, F5, Fortinet, Microsoft, Okta, Palo Alto Networks, TrendAI und Zscaler integrieren die Unterstützung für die Architektur in ihre Produktsuite für Agentensicherheit. Die Banken BBVA und Santander arbeiten mit NVIDIA zusammen, um die Architektur als Rahmen für die Stärkung der Sicherheit, des Schutzes und der Governance von Agenten zu untersuchen. Die Unternehmenssoftwareanbieter Cadence, Dassault Systèmes, IBM, SAP, Siemens und Synopsys arbeiten mit OpenShell am Aufbau von Softwareplattformen für Agenten, und Palantir und NVIDIA arbeiten mit Kunden daran, sichere Agenten in Produktionsumgebungen einzusetzen.

SAP integriert die Architektur in seine Laufzeitumgebung Joule Studio, die Teil der SAP Business AI Platform ist. ServiceNow hat die allgemeine Verfügbarkeit von ServiceNow Arc angekündigt, einem persönlichen, dauerhaft laufenden KI-Agenten, dessen Aktionen zur Laufzeit durch den ServiceNow Super Intelligence Control Tower geregelt und durch OpenShell durchgesetzt werden. Die Autorisierungsebene AI Passport von ServiceNow übermittelt diese Richtlinien an OpenShell und Sentry, sodass Unternehmen einem Agenten innerhalb von Sekunden den Zugriff auf Software und Hardware entziehen können.

Die Systemhersteller Dell Technologies, Cisco, HPE, Lenovo und Supermicro entwickeln Infrastrukturen auf Basis der Architektur. Die Cloud-Anbieter CoreWeave, Crusoe, Firebird, Firmus, GMI Cloud, IREN, Lambda, Nebius, Nscale, Oracle Cloud Infrastructure und Vultr arbeiten mit NVIDIA zusammen, um OpenShell-fähige Infrastrukturen bereitzustellen. Die Anbieter von Inferenz- und Post-Training-Diensten Baseten, Deepinfra, Fireworks und Together AI integrieren die Architektur in ihre Pipelines für die Modellentwicklung.

Der Hinweis zur Verfügbarkeit der Architektur verweist auf die Dokumentation zum Referenzdesign für sichere Agenten-Arbeitsbereiche. Sie behandelt sieben logische Ebenen, ein Sicherheits- und Governance-Modell, Bereitstellungsstufen sowie Referenzimplementierungen für Red Hat OpenShift Virtualization und Microsoft Azure. Der Code von OpenShell ist auf GitHub verfügbar.