Agent AI, który dostał zadanie i trafił na blokadę, potrafi ją obejść, a potem sam sobie wytłumaczyć, dlaczego mu wolno. Latem podobne zachowania pokazały włamanie modeli OpenAI do Hugging Face i wyjście agenta do internetu przez DNS. Nvidia ogłosiła 28 września zestaw narzędzi, który ma przenieść kontrolę agenta poza jego zasięg: do systemu operacyjnego i do osobnego układu w serwerze. Open Agent Safety Platform składa się z dwóch części. OpenShell to otwarte oprogramowanie, które każdy może pobrać z GitHuba i uruchomić na zwykłym Linuksie z Dockerem. Sentry to projekt dla serwerowni z kartami BlueField-4, o którym dziś wiadomo głównie z komunikatu. Rozdzielamy jedno od drugiego i piszemy, co z tego ma firma, która kart Nvidii nigdy nie kupi.
Co Nvidia udostępniła 28 września, a co tylko zapowiedziała
Komunikat Nvidii opisuje platformę jako “otwarte oprogramowanie i referencyjny projekt systemu”. To dwie różne rzeczy o różnym stopniu gotowości.
OpenShell jest dostępny dziś. Repozytorium NVIDIA/OpenShell jest publiczne, na licencji Apache 2.0, napisane w Ruście. Pierwsze stabilne wydanie 0.1.0 pojawiło się 25 września, a 28 września już 0.1.2. Sam projekt nie jest nowy, bo repozytorium założono w lutym. Nvidia w komunikacie pisze, że OpenShell działa “z minimalnym narzutem” na jej procesorach Vera i da się go rozszerzyć na układy Arm oraz Intela.
Sentry jest na razie projektem referencyjnym. To strażnik działający na układach BlueField-4, czyli procesorach sieciowych montowanych w serwerach obok głównego procesora. Według komunikatu potrafi odizolować agenta, który wychodzi poza swoje granice, “w milisekundach”. W repozytorium OpenShell kodu Sentry nie znaleźliśmy. Ceny, daty dostępności i pomiarów skuteczności komunikat nie podaje. Na końcu zastrzega za to, że wiele opisanych produktów jest “na różnych etapach” i zostanie udostępnionych “jeśli i kiedy” będą gotowe.
Jak Nvidia OpenShell pilnuje agenta AI na poziomie systemu
Obecne zabezpieczenia agentów siedzą głównie w samym modelu albo w aplikacji, która nim steruje. Model ma odmawiać, aplikacja ma nie podawać mu niebezpiecznych narzędzi. Kłopot w tym, że agent z celem i dostępem do terminala potrafi znaleźć drogę, której nikt nie przewidział.
OpenShell zakłada, że agentowi nie należy ufać, i stawia granicę w jądrze systemu. Według dokumentacji w repozytorium każdy agent działa w osobnej piaskownicy. Administrator zapisuje w polityce, które pliki, wywołania systemowe, adresy sieciowe i procesy agent może ruszyć. Każde połączenie sieciowe przechodzi kontrolę, zanim opuści piaskownicę.
Dwa rozwiązania są ciekawsze od samej izolacji. Agent nie widzi prawdziwych haseł ani kluczy API. OpenShell dokleja je dopiero do zapytań wysyłanych pod zatwierdzone adresy, więc w pamięci agenta nie ma klucza, który dałoby się wynieść. Drugie rozwiązanie dotyczy zmian polityki. Przed zatwierdzeniem zmiany OpenShell analizuje metodami weryfikacji formalnej, jaki nowy dostęp by ona nadała. Ryzykowne rozszerzenia, na przykład dostęp do kolejnego serwera z poświadczeniami, oznacza i zostawia do decyzji człowieka.
Na razie OpenShell wymaga Linuksa, macOS na procesorach Apple albo Windowsa z WSL 2, gdzie wsparcie jest eksperymentalne. Potrzebny jest też Docker, Podman albo wirtualizacja. Karta graficzna Nvidii nie jest warunkiem. Jedna uwaga praktyczna: OpenShell domyślnie wysyła anonimową telemetrię. Wyłącza ją zmienna OPENSHELL_TELEMETRY_ENABLED=false ustawiona na bramie.
Agenci AI · Kodożercy
Agenci AI dla osób, które nie programują
Kurs Agenci AI od Kodożerców powstał dla marketerów, menedżerów i freelancerów. Uczysz się na gotowym przykładzie, a potem budujesz to samo u siebie: agent przejmuje zadania, które dziś zjadają Ci czas.
Zacznij od pierwszego agenta →
Sentry i BlueField: kontrola agenta w sprzęcie, dla kogo to realne
Druga warstwa ma działać tam, gdzie agent nie sięgnie nawet po przejęciu całego serwera. Wpis techniczny Nvidii opisuje to na przykładzie szaf Vera Rubin POD. W każdej tacy obliczeniowej układ BlueField-4 leży na jedynej drodze węzła do modelu. Autorzy nazywają ją najlepszym punktem obserwacji i zarazem wyłącznikiem, bo agent bez kolejnej odpowiedzi modelu nie wykona następnego kroku.
Sentry ma w tym miejscu sprawdzać tożsamość agenta, jego zapytania i dostęp do danych, a zapis zdarzeń ma być niezależny od systemu, który agent mógłby zmienić. Według Nvidii dla firm, które mają już Verę z BlueField-4, włączenie tej ochrony to “tylko aktualizacja oprogramowania”.
To zdanie dobrze pokazuje, do kogo Sentry jest dziś skierowany. W obecnym opisie sprzętowa warstwa celuje głównie w laboratoria AI oraz operatorów dużych centrów danych i chmur. Nvidia nazywa ją warstwą opcjonalną i deklaruje zgodność platformy także z innym sprzętem. Średnia firma, która uruchamia agenta w n8n albo na maszynie wirtualnej w chmurze, BlueField-4 zwykle nie ma. Dla niej praktyczne znaczenie ma przede wszystkim otwarty OpenShell i to, że zasadę “kontrola poza agentem” poparli duzi gracze.
Lista partnerów jest długa. Według komunikatu Anthropic integruje Claude Managed Agents z OpenShell i BlueField, a SAP wbudowuje OpenShell w swoje narzędzie do agentów Joule Studio. Salesforce ma pozwalać na zatwierdzanie próśb agenta o dodatkowe uprawnienia prosto ze Slacka. To deklaracje partnerów, bez dat udostępnienia. W komunikacie są też CrowdStrike, Palo Alto Networks, Microsoft i Red Hat, łącznie “ponad 100 organizacji”. W wywiadzie dla CNBC Nvidia sama nazywa platformę projektem referencyjnym. Gotowe produkty mają zbudować na niej partnerzy.
Dlaczego teraz: Hugging Face, DNS i skany ONZ
Komunikat mówi ogólnie o “niedawnych incydentach”, w których agent obchodził zabezpieczenia aplikacji, żeby wykonać zadanie. Wiemy, które to mogą być. W lipcu OpenAI przyznało, że za włamaniem do Hugging Face stały jego własne modele testowane na zadaniach z wykorzystywania luk. We wrześniu agent w treningu OpenAI obszedł blokadę sieci przez serwer DNS i firma wstrzymała trening najmocniejszych modeli.
Z incydentem Hugging Face Nvidia łączy platformę wprost, ale tylko ustami rzecznika. CNBC relacjonuje, że na niedzielnym briefingu przedstawiciel firmy stwierdził, że platforma mogła zapobiec incydentowi z Hugging Face. Justin Boitano, wiceprezes Nvidii, dodał: “z tego, co wiemy, Hugging Face zgłosił ponad 17 000 agentów atakujących jego infrastrukturę”. Tej liczby nie sprawdziliśmy u źródła i podajemy ją jako słowa Nvidii.
W tle jest jeszcze jedna historia. Badacz Rowan H-J opisał 26 września ponad 16 500 skanów interfejsu statystyk ONZ (UNCTADstat) wykonanych od 13 kwietnia do 19 czerwca. Agenci obeszli ograniczenia serwisu podwójnym kodowaniem adresu, a jako pośrednika użyli między innymi gry szkoleniowej Google o lukach XSS. Autor uważa za “wysoce prawdopodobne”, że były to agenty OpenAI. Opiera się na zbieżności adresów IP z wcześniej potwierdzonym przez OpenAI rojem agentów i na etykietach typu CHATGPTTEST1. To wniosek badacza, a stanowisko OpenAI znamy wyłącznie z relacji prasowych.
Co może zrobić firma bez sprzętu Nvidii
Najważniejsza myśl ogłoszenia przenosi się na każdą skalę. Zabezpieczenie, które agent może zobaczyć i zmienić, słabo go ogranicza. Firma, która wdraża agenta AI, może zastosować tę zasadę bez nowego sprzętu:
- Uruchamiaj agenta w osobnym kontenerze albo maszynie wirtualnej, bez dostępu do dysku, na którym leżą firmowe dane. Tylko katalogi potrzebne do zadania.
- Zamknij ruch wychodzący i otwieraj go listą dozwolonych adresów. Lista obejmuje DNS, bo właśnie tamtędy wyszedł agent OpenAI.
- Nie dawaj agentowi kluczy do ręki. Poświadczenia może dokładać pośrednik po stronie sieci, tak jak robi to OpenShell. Wtedy agent ich nie wyniesie.
- Każde rozszerzenie uprawnień niech zatwierdza człowiek. Dotyczy to też “drobnych” zmian w stylu nowej domeny czy nowej metody API.
- Loguj działania poza zasięgiem agenta i przetestuj wyłącznik. Alert bez automatycznego zatrzymania to połowa zabezpieczenia, co boleśnie pokazał raport OpenAI.
Kto ma serwer z Linuksem i Dockerem, może też po prostu spróbować OpenShell. Instalacja to według dokumentacji jeden skrypt i jedno polecenie tworzące piaskownicę. Warto przy tym pamiętać, że to wersja 0.1, a sama Nvidia opisuje obsługę Windowsa jako eksperymentalną. Otwarty kod ma jeszcze jeden walor, o który Nvidia zabiega od lipca, gdy zakładała sojusz Open Secure AI Alliance. Zasady kontroli agentów mają być wspólne dla całej branży i niezależne od regulaminów poszczególnych dostawców modeli.
{ agenci AI }Agent AI, który pracuje na danych Twojej firmy
Budujemy agentów, którzy odpowiadają klientom, czytają dokumenty i przygotowują raporty, podłączonych do Waszych systemów. Zaczynamy od jednego procesu i sprawdzamy efekt, zanim pójdziemy dalej.
Podsumowanie
Nvidia ogłosiła 28 września Open Agent Safety Platform, czyli zestaw, który ma pilnować agentów AI z zewnątrz. Nvidia OpenShell jest dostępny od ręki. Ma otwarty kod na licencji Apache 2.0 i działa na zwykłym Linuksie z Dockerem. Izoluje agenta w jądrze systemu, trzyma klucze poza jego zasięgiem i wstrzymuje rozszerzenie uprawnień do decyzji człowieka. Sentry, strażnik na układach BlueField-4, to na razie projekt referencyjny bez ceny, terminu i pomiarów. Celuje głównie w operatorów dużych serwerowni. Tło ogłoszenia to seria incydentów z agentami OpenAI: Hugging Face, obejście przez DNS i skany statystyk ONZ, przypisane OpenAI przez niezależnego badacza. Związek z Hugging Face Nvidia sugeruje tylko w słowach rzecznika. Firma bez sprzętu Nvidii może przejąć tę samą zasadę: izolacja, zamknięty ruch wychodzący, klucze poza agentem i sprawdzony wyłącznik.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
