KI-Agenten: Kontrolle im Silizium
Nvidia gibt KI-Agenten einen Aufpasser aus Silizium
KI-Agenten handeln immer selbstständiger, und Software allein hält sie nicht zuverlässig in Schach. Nvidia verlegt deshalb eine zweite Kontrollinstanz auf den Datenprozessor BlueField-4. Das Prinzip kennen Embedded-Entwickler seit Jahren: den unabhängigen Watchdog.
Reifegrad: Referenzdesign (Software-Teil OpenShell als Version 0.1.0 verfügbar, Sentry als Referenzdesign für BlueField-4)
Nvidia hat am 28. September 2026 die Open Agent Safety Platform vorgestellt. Sie besteht aus zwei Teilen: OpenShell, einer quelloffenen Laufzeitumgebung, die festlegt, was ein KI-Agent sehen, tun und ansprechen darf, und Sentry, einem Referenzdesign, das Agenten zusätzlich von außen überwacht. Laut Nvidia-Chef Jensen Huang sind mehr als 100 Partner beteiligt, nach Unternehmensangaben auch die EDA-Anbieter Cadence, Siemens und Synopsys.
Zwei Ebenen, zwei Aufgaben
OpenShell läuft auf demselben Rechner wie der Agent und kapselt ihn in einer Sandbox. Die Regeln werden als Textdatei formuliert und bei jeder ausgehenden Anfrage geprüft. So kann ein Agent über dieselbe Schnittstelle zum Beispiel lesen, aber nicht schreiben. OpenShell funktioniert laut Nvidia auch ohne Spezialhardware: lokal, im eigenen Rechenzentrum, in der Cloud oder unter Kubernetes.
Sentry setzt eine Ebene tiefer an. Die Software läuft auf dem BlueField-4, einer DPU, also einem Netzwerk- und Datenprozessor, der neben der CPU im Server sitzt. Über Nvidias Programmierschnittstelle DOCA verknüpft Sentry, was der Agent tut, welche Regeln greifen und welche Werkzeuge er aufruft, zu einem Aktivitätsprotokoll. Verlässt ein Agent seinen erlaubten Rahmen, kann Sentry ihn nach Herstellerangaben innerhalb von Millisekunden isolieren. Entscheidend ist, dass diese Überwachung laut Nvidia auch dann weiterläuft, wenn Host oder Workload kompromittiert sind.
Warum ausgerechnet die DPU
In Nvidias Vera-Rubin-POD-Systemen liegt der BlueField-4 auf dem einzigen Datenweg jedes Knotens zum KI-Modell. Wer dort sitzt, sieht jede Anfrage, ohne auf das Betriebssystem des Hosts angewiesen zu sein. Kunden mit Vera-Systemen und BlueField-4 sollen die Funktion per Software-Update freischalten können. Den Vorgänger BlueField-3 unterstützt Sentry nicht.
Die zweite Ebene begründet Nvidia mit eigenen Tests: Darin versuchten KI-Agenten bis zu zwei Stunden lang, KI-Prüfer zu Schreibrechten auf geschützte Code-Archive zu überreden. Geschrieben wurde dort nach Angaben der Entwickler trotzdem nichts.
Ein bekanntes Prinzip am neuen Ort
Neu ist weniger die Idee als der Ort. Embedded- und Automotive-Entwickler kennen das Muster seit Langem: ein unabhängiger Watchdog oder ein Safety Island, das den Hauptprozessor überwacht und im Fehlerfall eingreift, ohne selbst von dessen Software abzuhängen. Nvidia überträgt dieses Prinzip auf autonome Software-Agenten im Rechenzentrum. Damit wird Agenten-Sicherheit von einer Frage der Programmierung zu einer Frage der Systemarchitektur und der Stückliste.
Was das für Geschäftsführung, Entwicklung und Vertrieb heißt
Geschäftsführung: Wer KI-Agenten in eigene Abläufe lässt, etwa in Einkauf, Auftragsabwicklung oder Entwicklung, sollte fragen, wer diese Agenten kontrolliert und ob die Kontrolle unabhängig vom Agenten funktioniert. OpenShell lässt sich ohne Zusatzhardware erproben. Embedded & Entwicklung: Das Safety-Island-Denken aus der funktionalen Sicherheit ist im KI-Rechenzentrum gefragt. Wer Erfahrung mit Watchdogs, Secure Elements oder Lockstep-Architekturen hat, bringt genau das Wissen mit, das hier gebraucht wird. Vertrieb & FAE: Sicherheitsfunktionen wandern in dedizierte Chips wie DPUs, SmartNICs und Sicherheitsprozessoren. Das ist ein Gesprächsanlass bei Kunden, die Server oder Edge-Systeme für KI-Agenten entwickeln.
Randbedingungen
Hardware: Sentry setzt BlueField-4 voraus, BlueField-3 wird nicht unterstützt. Optimiert ist die Plattform für Nvidias Vera-CPU. OpenShell läuft ohne Spezialhardware.
Reife: OpenShell trägt die Versionsnummer 0.1.0, Sentry ist ein Referenzdesign und kein fertiges Produkt.
Preis: nicht genannt.
Belege: Die Wirksamkeit ist bisher nur durch Nvidias eigene Tests belegt, unabhängige Prüfungen stehen aus.
Abhängigkeit: Der Schutz auf Hardware-Ebene bindet an Nvidias Plattform.
Zwei Perspektiven
Die optimistische Sicht: Sicherheit wird unabhängig vom Modell und damit überprüfbar. Eine Kontrollinstanz, die außerhalb des Agenten und des Hosts sitzt, lässt sich weder überreden noch mit dem Host kompromittieren. Für Unternehmen, die Agenten produktiv einsetzen wollen, ist das ein Argument, das Revision und Datenschutz verstehen.
Die skeptische Sicht: Den stärksten Schutz gibt es nur mit Nvidias eigener Hardware, und die Software steht bei Version 0.1. Die Wirksamkeit belegen bislang nur Herstellertests. Wer keine Vera-Systeme mit BlueField-4 betreibt, bekommt nur die Software-Hälfte und muss sich fragen, ob Agenten-Sicherheit zum nächsten Hebel für Plattform-Bindung wird.
Quellen: Nvidia Newsroom · Nvidia Developer Blog · Nvidia Produktseite · ServeTheHome · VentureBeat