Open Agent Safety Platform: Nvidia will Agenten hardwarenah überwachen

Die Sicherheitsbausteine für autonome KI-Agenten sind zur Open Agent Safety Platform zusammengefasst. Das Paket trennt zwei Ebenen: Die quelloffene Laufzeit OpenShell begrenzt per Software, auf welche Dateien, Netze, Prozesse und Zugangsdaten ein Agent zugreifen kann; der Watchdog Sentry läuft auf eigenen BlueField-4-DPUs und soll eingreifen, wenn ein Agent auf seinem Wirtsystem bereits ausgebrochen ist. Relevant ist das für Unternehmen, die Agenten mit Werkzeug- und Netzwerkzugriff produktiv betreiben — die entscheidende Frage ist weniger, ob das Konzept schlüssig klingt, als ob es belastbare Nachweise für seine Wirksamkeit gibt.

Was die Open Agent Safety Platform umfasst

OpenShell besteht aus vier Komponenten: einer Sandbox, die den Agenten per Kernel-Isolation kapselt, einem Supervisor, einem Gateway für Zugriffe und einem Policy Prover, der die Regelwerke prüft. Dazu kommen Credential-Brokering, damit der Agent nicht direkt an Zugangsdaten gelangt, sowie ein Audit-Trail, der die Aktionen protokolliert. Der Policy Prover arbeitet mit einem Z3-SMT-basierten Ansatz und übersetzt YAML-Regeln nach OPA/Rego plus SMT-Formeln. Der Code steht unter Apache 2.0 in Version 0.1.0 auf GitHub, vorgestellt wurde der Ansatz erstmals auf der GTC im März 2026.

Hardwareseitig ist die Arbeit auf drei Rollen verteilt: Vera Rubin rechnet die Modelle, Vera-CPUs führen Agenten und Werkzeuge aus, BlueField-4-DPUs übernehmen mit Sentry die Überwachung. Sentry sitzt damit in einer eigenen Sicherheitsdomäne außerhalb des eigentlichen Hosts. Genau das ist der interessante Teil des Entwurfs: Er zielt auf den Fall, in dem ein Agent sich auf seinem Wirt bereits Rechte verschafft hat und Software-Kontrollen dort nicht mehr greifen. Sentry soll einen auffälligen Agenten innerhalb von Millisekunden in Quarantäne stellen können, und die Durchsetzung der Regeln liegt in der Hardware statt im Modell oder im Prompt.

Anbieter, Ankündigung und Partnernetz

Die Plattform stammt von Nvidia; zur Ankündigung gehört ein Statement von Jensen Huang. Als Partner genannt werden: Anthropic, Cisco, CrowdStrike, Dell, Figure, HPE, Hugging Face, JPMorganChase, Microsoft, Palantir, Palo Alto Networks, Perplexity, Red Hat, Salesforce, SAP, Scale AI, ServiceNow und SpaceXAI. Diese Aufzählung ist eine Ankündigungsliste, kein Nachweis produktiver Integrationen. Gemeint ist die angepeilte Breite des Ökosystems, nicht der Stand der einzelnen Anbindungen.

Ergänzend zu den Sicherheitsbausteinen kommen neue Daten- und Modellangebote: Agent Knowledge Foundation, Kumo und Nemotron 3.5. Das ist insofern relevant, als die Sicherheitsplattform damit nicht als isoliertes Produkt erscheint, sondern als Teil eines Stacks, der Daten, Modelle und Ausführungsumgebung zusammenführen soll.

Einordnung: offener Code, gebundene Hardware

Die beiden Hälften sind sehr unterschiedlich weit. OpenShell ist als Open-Source-Projekt einsehbar und damit grundsätzlich auch ohne Nvidia-Hardware prüfbar — allerdings in Version 0.1.0, also in einem sehr frühen Stand. Wer die Laufzeit heute in einer Produktionsumgebung einsetzen will, sollte mit einem eigenen Test rechnen und nicht mit einem ausgereiften Werkzeug.

Anders Sentry: Der Watchdog setzt BlueField-4-DPUs voraus, und die waren erst seit 2026 in Produktion. Das „Open" im Plattformnamen bezieht sich auf OpenShell, nicht auf die Hardware-Durchsetzung. Wer Sentry nutzen will, bindet sich an Nvidias DPU-Linie — ein Unterschied, der bei der Budgetplanung schwerer wiegt als bei der Software-Seite.

Unabhängige Wirksamkeitsnachweise fehlen bislang vollständig. Es gibt keine unabhängigen Tests oder Benchmarks, die die Millisekunden-Quarantäne oder die In-Silicon-Durchsetzung belegen. Die Formel von der im Silizium durchgesetzten Sicherheit ist bislang ein Versprechen, keine Messung. Zu Preisen, Lizenz- und Vertragsdetails von Sentry sowie zu Marktstart und Verfügbarkeit in Deutschland und der EU gibt es keine Angaben.

Technisch bemerkenswert ist die Verlagerung weg von Prompt-Filtern hin zu Ausführungskontrolle: Sicherheitsfilter auf Modellebene lassen sich mit geschickt formulierten Eingaben umgehen, Rechte auf Prozess- und Dateiebene sind deutlich schwerer zu überschreiten. Der Preis dafür ist Infrastruktur — und damit einhergehend ein höherer Integrationsaufwand als bei einer reinen Software-Lösung. Dass die Plattform zusätzlich auf Zero-Trust-Prinzipien setzt, also jede Aktion einzeln autorisiert statt dem Agenten ein pauschales Vertrauen zu schenken, ändert nichts daran, dass die Wirksamkeit dieser Durchsetzung noch niemand von außen nachgemessen hat.

Was Admins jetzt tun sollten

Wer heute Agenten mit Werkzeugzugriff betreibt, kann auf Sentry nicht warten und sollte auch nicht darauf warten müssen. Sinnvoll ist, die Prinzipien der Plattform mit eigenen Mitteln umzusetzen: Agenten in einer eigenen, möglichst minimal berechtigten Laufzeitumgebung starten, Zugangsdaten nur über einen Broker mit kurzen Laufzeiten ausgeben, alle Werkzeugaufrufe in einem Audit-Log mitschreiben und Regeln für Netzwerkziele explizit whitelisten statt alles zu erlauben. Wer Nvidias Ansatz evaluieren will, testet OpenShell in einer isolierten Umgebung und misst selbst, wie sich Regelverstöße erkennen lassen — die Version 0.1.0 ist ein Prüfobjekt, kein Produktionsrelease. Sentry gehört vorerst in die Beobachtungsliste, nicht in den Beschaffungsplan, solange BlueField-4-Verfügbarkeit, Preise und unabhängige Messungen fehlen.

Quellen