NVIDIA、エージェントガバナンス向け「OpenShell Reference Architecture」を発表

NVIDIAは2026年10月21日、GTC Berlinで、企業インフラとエッジシステム全体で安全なAIエージェントを構築、封じ込め、監視し、その動作を徹底させるためのフルスタック設計「OpenShellリファレンスアーキテクチャ」を発表した。このアーキテクチャは現在利用可能だ。

このアーキテクチャは、NVIDIAのオープンソースのセキュアランタイムソフトウェア「OpenShell」を基盤とし、エージェントの開発と運用に対応する産業規模のインフラへと拡張したものだ。企業向けワークロードを実行するVera Rubinインフラ（NVIDIA Nemotronで構築されたクローズドモデルとオープンモデルを含む）、エージェントのハーネスを稼働させるVera CPU、そしてエージェントの挙動を継続的に帯域外監視し、シリコン上でポリシーを適用するセキュリティフレームワーク「NVIDIA Sentry」を実行するBlueField-4 DPUを組み合わせている。また、小売、ヘルスケア、製造、ロボティクス、ソフトウェア開発、通信の各分野で、RTX Spark、DGX Spark、DGX Stationシステム上で稼働するエッジエージェントにも対応する設計となっている。

「OpenShellリファレンスアーキテクチャにより、エージェントはRubin上で思考し、Vera上で行動し、BlueFieldによって統治されます」と、NVIDIAの創業者兼CEOであるJensen Huang氏は述べた。Huang氏は、企業が数十億のAIエージェントの導入に備えるなか、安全性と制御をコンピューティングアーキテクチャに組み込む必要があると語った。

エージェントワークロード向けのフルスタックインフラ

Vera Rubinインフラの中核をなすのは「Vera Rubin NVL72」システムだ。NVIDIAは、これらのシステムを事前学習、事後学習、推論のいずれにも柔軟に割り当てられると説明している。同社によると、NVL72はエージェント型ワークロードにおいて、メガワット当たりのスループットを30倍に高める。自律型エージェントにセキュアなランタイム境界を提供するOpenShellソフトウェアはVera CPU上で動作する。NVIDIAによると、Vera CPUはx86プロセッサと比べてエネルギー効率を高めながら、2倍の性能を発揮する。

「関連する技術解説記事」では、Veraについて、NVIDIAが設計した88基のOlympusコア、第2世代Scalable Coherency Fabric、96レーンのPCIe Gen 6、最大1.2 TB/sのLPDDR5Xメモリ帯域幅を備えたCPUと説明している。NVIDIAによると、このファブリックはx86の代替製品と比べて、コア間帯域幅を最大3倍にし、コア間レイテンシを最大50％低減する。また、Veraはワット当たりの性能がx86 CPUの2倍だという。

AIクラウドプラットフォームのCoreWeaveは、投稿によると、サンドボックスの起動がx86上よりVera上で3倍を超えて高速であり、1台のラックで1万1,000を超えるエージェント環境を同時に稼働させられると測定した。実際のエージェントループのタスク全般にわたってCPU性能を測定するTerminal Benchを実行したところ、CoreWeaveは、スクリプト作成からデータベースの復旧までのタスクにおいて、Veraの性能がx86より1.8倍速いことを確認した。

BlueField-4 DPU上で稼働するNVIDIAのDOCAソフトウェアを基盤とするSentryは、エージェントの挙動を継続的に監視する。NVIDIAによると、エージェントがソフトウェア上の境界を越えようとした場合、Sentryは数ミリ秒以内にそのエージェントを隔離して停止させる。同社はまた、BlueField-4上のSentryによってエージェント処理能力が最大20％向上するとしている。

OpenShellとSentryがエージェントの境界をどのように適用するか

技術解説記事で示されたNVIDIAの見解は、エージェントは自らを統治できないため、セキュリティとガバナンスはエージェントが動作するインフラに組み込むべきだというものだ。OpenShellは、実行中のエージェントワークロードを常に信頼できないものとして扱い、エージェントには必要なものを必要なときにだけ利用させる。ランタイムは4つのコンポーネントで構成される。サンドボックスのライフサイクルとポリシーを管理するコントロールプレーンのGateway、送信リクエストをポリシーと照合し、サンドボックスとは完全に分離して動作しながら認証情報へのアクセスを仲介するSupervisor、エージェントワークロードを隔離し、ファイルシステムとプロセスへのアクセスを制限するSandbox、そしてポリシーで許可される権限が組織の定めた上限内に収まっているかを形式検証で確認するPolicy Proverだ。

リファレンスアーキテクチャでは、エージェントはVera CPU上で実行され、BlueField-4はノードからモデルへ至る唯一の経路に配置される。そのためSentryは、エージェント自身による挙動の報告に頼ることなく、エージェントとモデル間の通信を検査できると、このフレームワークを詳しく解説した技術記事は述べている。Sentryはホストソフトウェアから独立した、ハードウェアで隔離された信頼領域で動作する。エージェントがサンドボックスから脱出した場合やホストが侵害された場合でも、監視と制御の機能を維持できるよう設計されている。

オープンソースのEnvoyプロキシを基盤とするSentryのAIセキュリティゲートウェイ「DOCA Tower」は、エージェントのトラフィックを透過的に中継し、シリコン上でTLSを終端する。DOCA Flowは、エージェントごとにレイヤー4ファイアウォールを実装し、シリコン上で高速化することで、許可されていない宛先への接続を遮断するとともに、許可されたトラフィックをアプリケーション層での検査と認可のためにDOCA Towerへ転送する。アクセス要求はOpen Policy Agentエンジンを使って定義済みのポリシーと照合される。このエンジンはRego言語を使用し、ポリシーの複雑さや設定に応じて、1ミリ秒未満で要求を評価できる。

DOCA Argusは、ホスト上にエージェントを常駐させずにBlueField-4からホストの揮発性メモリの選択領域を分析する、エージェントレスのリアルタイムメモリーイントロスペクションを通じて、実行時のコンテキストを追加します。コンテナとそのPod、サンドボックスとマイクロVMを対応付け、プロセス、ファイルアクセス、ネットワーク接続、読み込まれたライブラリをハッシュで追跡します。これにより、コンテナのハッシュが承認済みリストと一致することや、処理を開始したプロセスがコンテナのソフトウェア部品表に記載されていることを求めるポリシーなどを適用できます。Sentryが評価する不審な兆候には、未承認ツールの実行、別のプロセスを攻撃するためのptraceの使用、過剰な外向き通信、許可されていないファイルへのアクセスや変更、CPU使用率の急上昇、一時フォルダーへの過剰な書き込み、大量のファイル削除が含まれます。逸脱を検知すると、Sentryはシリコン上でミリ秒単位の封じ込めを要求できます。

Sentryは、エージェントの通信をインラインまたは帯域外で分類して行動の逸脱を特定する専用AIモデルとも連携します。また、BlueField-4上で、フォレンジック調査やXDR、SIEMシステムなどの企業向けセキュリティプラットフォームへのエクスポートに利用できる、証明済みで改ざんを検知できる記録を生成します。DOCA Towerは、検証可能なワークロードIDを実現するSPIFFE/SPIREを統合しています。NVIDIAはSentryを来年初頭に提供する予定です。DOCA Argus、DOCA Flow、OVS-DOCAなどのDOCAライブラリとマイクロサービスは、実験用として現在提供されています。

パートナーエコシステムと提供状況

OpenShellリファレンスアーキテクチャは、Canonical、SUSE、Red HatのLinuxおよびKubernetesインフラストラクチャ、Microsoft Execution Containersを使用するMicrosoft Windows、ならびにAmazon Web Services、Google Cloud、Microsoft AzureのクラウドOS上で動作します。企業は、OpenShellインフラストラクチャ上で、Anthropic、Cohere、Google、Meta、OpenAI、Perplexity、Reflection、SpaceX Super Intelligenceの各モデル開発企業が提供するエージェントを実行できます。

1Password、Check Point、CrowdStrike、Cisco、F5、Fortinet、Microsoft、Okta、Palo Alto Networks、TrendAI、Zscalerなどのサイバーセキュリティベンダーは、自社のエージェントセキュリティ製品にこのアーキテクチャのサポートを組み込んでいます。銀行のBBVAとSantanderは、エージェントの安全性、セキュリティ、ガバナンスを強化する枠組みとしてこのアーキテクチャを検討するため、NVIDIAと協力しています。Cadence、Dassault Systèmes、IBM、SAP、Siemens、Synopsysなどのエンタープライズソフトウェア企業は、エージェントソフトウェアプラットフォームの構築に向けてOpenShellと協力しており、PalantirとNVIDIAは顧客と連携し、本番環境へのセキュアなエージェントの導入を進めています。

SAPは、SAP Business AI Platformの一部であるJoule Studioランタイムにこのアーキテクチャを統合しています。ServiceNowは、個人向けの長時間稼働型AIエージェントであるServiceNow Arcの一般提供開始を発表しました。そのアクションは実行時にServiceNow Super Intelligence Control Towerによって統制され、OpenShellによって適用されます。ServiceNowのAI Passport認証機関レイヤーは、これらのポリシーをOpenShellとSentryに伝達するため、企業はソフトウェアとハードウェアにまたがるエージェントのアクセス権を数秒以内に取り消せます。

Dell Technologies、Cisco、HPE、Lenovo、Supermicroなどのシステムメーカーは、このアーキテクチャを活用したインフラストラクチャを構築しています。CoreWeave、Crusoe、Firebird、Firmus、GMI Cloud、IREN、Lambda、Nebius、Nscale、Oracle Cloud Infrastructure、Vultrなどのクラウドプロバイダーは、OpenShellに対応したインフラストラクチャの導入に向けてNVIDIAと協力しています。また、Baseten、Deepinfra、Fireworks、Together AIなどの推論・事後学習プロバイダーは、モデル開発パイプラインへの統合を進めています。

このアーキテクチャの提供開始に関する告知では、7つの論理プレーン、セキュリティとガバナンスのモデル、導入階層、Red Hat OpenShift VirtualizationとMicrosoft Azure向けのリファレンス実装を解説するセキュアエージェントワークスペースのリファレンス設計ドキュメントを案内しています。OpenShellのコードはGitHubで公開されています。