Платформа безопасности агентов от Nvidia: нужна ли она бизнесу

Что выпустила Nvidia

28 сентября 2026 года Nvidia анонсировала Open Agent Safety Platform. В анонсе участвуют больше сотни организаций, среди них Anthropic, Microsoft, Cisco, CrowdStrike, Salesforce и SAP. Платформа состоит из двух частей.

Первая часть, OpenShell, это программная среда с открытым кодом под лицензией Apache 2.0. Агент запускается внутри песочницы, а оператор заранее перечисляет, к чему у него есть доступ: файлы, сеть, инструменты, процессы и ключи. Схема «по умолчанию всё запрещено»: разрешено только то, что прописано в политике. Проверка идёт вне процесса самого агента, поэтому уговорами или хитрым промптом её не обойти. Из коробки поддерживаются Claude Code, Codex, GitHub Copilot CLI, OpenCode, OpenClaw, Hermes и другие агенты.

Вторая часть, Nvidia Sentry, необязательная. Это сторож, который работает на отдельном процессоре BlueField-4 в сервере, вне досягаемости агента, и следит за его поведением. По заявлению Nvidia, он умеет изолировать агента, который вышел за границы, за миллисекунды.

Источники: пресс-релиз Nvidia и технический разбор в блоге для разработчиков. Код OpenShell лежит на GitHub, версия пока 0.1.x.

Что это значит для бизнеса

Nvidia объясняет, зачем всё это, словом «дрейф». Агент, который долго работает, получает расплывчатую инструкцию или упирается в запрет, начинает уходить от исходной задачи. Он ищет обходной путь, берёт не тот инструмент, лезет не в ту папку.

В компании из пяти человек это выглядит приземлённо. Агент записи клиентов, которому дали доступ ко всей CRM, однажды отправит чужой номер телефона не тому клиенту. Агент в рекламном кабинете, которому не поставили потолок, потратит недельный бюджет за вечер. Агент, который читает входящие письма, выполнит инструкцию, спрятанную в письме от незнакомца.

Платформа Nvidia решает это для тех, кто запускает агентов, которые сами выполняют команды и работают с файлами на машине. Большинство бизнес-агентов устроено проще: это бот в мессенджере, который вызывает несколько ваших функций. Защита там строится по-другому.

Моя позиция

Мне нравится сама идея, и я считаю её главным в этом анонсе. Контроль должен стоять снаружи агента. Если запрет записан в системном промпте («не удаляй файлы»), это просьба, и её можно обойти. Если у агента технически нет права на удаление, обходить нечего.

Поэтому в проектах я исхожу из простого допущения: агент рано или поздно ошибётся или его обманут. Задача в том, чтобы к этому моменту ущерб был ограничен. Для этого не нужна платформа за миллионы. Нужны правильно выданные права и дисциплина в настройке. Подробнее о том, где проходит граница доверия, я писал в статье про границу автономности ИИ-агента.

Что делать уже сейчас: четыре барьера без платформы

1. Минимум прав. Агенту выдаётся отдельный ключ, у ключа ровно те права, без которых задача не решается. Агенту отчётов достаточно чтения, а запись запрещена на уровне самой базы. Как это настроить для базы данных, разобрано в статье про безопасный доступ агента к базе.

2. Белый список инструментов. Агент вызывает только те функции, которые вы для него написали: «показать свободные окна», «создать запись», «передать менеджеру». Функции «выполнить любую команду» в списке нет. Если агент ходит в интернет, список разрешённых адресов тоже фиксированный.

3. Подтверждение человеком для необратимого. Деньги, удаление, массовая рассылка, отправка данных наружу, смена цены. Агент готовит действие и присылает вам кнопку «Подтвердить» в Telegram или MAX. Нажали, выполнилось. Не нажали, ничего не произошло. Так же стоит ограничивать бюджет: потолок в день и на одну операцию, о чём я писал в статье про агента в рекламном кабинете.

4. Проверка входа и выхода плюс журнал. Всё, что агент читает из писем, форм и чужих сайтов, считается недоверенным текстом и командой не становится. На выходе простые правила (guardrails) проверяют ответ: нет ли в нём телефонов других клиентов, внутренних цен, ключей. Каждый вызов инструмента пишется в журнал, и есть аварийный выключатель, который останавливает агента одним действием.

Где платформа не нужна и что она не закрывает

Малому бизнесу OpenShell в большинстве случаев не нужен. Причин несколько. Он рассчитан на агентов, которые исполняют код и команды на машине. Если у вас бот на обычной языковой модели, который общается с клиентами и дёргает пять ваших функций, песочнице там нечего изолировать: риск сидит в правах функций.

Для запуска нужны Docker или Podman, Linux или macOS, а на Windows поддержка помечена как экспериментальная. Проект в версии 0.1.x, и политики придётся писать и сопровождать. Без технического специалиста это превращается в отдельную работу.

Sentry требует серверного железа Nvidia. На обычном VPS или в облаке у малого бизнеса его нет. Это решение для дата-центров и крупных компаний.

Платформа не решает и логические ошибки. Агент, которому разрешено отвечать клиентам, может написать клиенту глупость внутри выданных прав. Против этого работают тесты на реальных диалогах и передача сложных случаев человеку.

Платформа становится нужна, когда агент пишет и запускает код, работает на вашем сервере с доступом к файлам, или когда вы встраиваете в процессы готовых кодовых агентов и хотите держать их в заданных рамках.

Как я с этим помогаю

Я делаю ИИ-агентов под ключ и закладываю защитные барьеры с первого дня. Прежде чем агент получит доступ к базе или деньгам, мы вместе расписываем, что он может делать сам, что только с вашим подтверждением, а что не может вообще. Затем я настраиваю права, белый список инструментов, лимиты, фильтры и журнал, и проверяю агента на попытках его сломать.

Если агент у вас уже работает, я могу посмотреть его права и сказать, где дыры.

Частые вопросы

Нужно ли мне ставить OpenShell, если у меня бот в Telegram?

Скорее всего нет. Бот, который отвечает клиентам и вызывает ваши функции, защищается правами этих функций, лимитами и подтверждением важных действий. Песочница нужна агентам, которые исполняют код и команды.

Что такое guardrails простыми словами?

Это правила-фильтры вокруг модели. Одни проверяют, что в неё попадает, другие смотрят ответ и не пропускают лишнее: чужие данные, запрещённые темы, слишком крупные суммы. Надёжнее, когда они написаны кодом вне модели.

Можно ли полностью исключить ошибки агента?

Нет. Можно ограничить ущерб от ошибки: узкие права, лимиты, подтверждение человеком и возможность быстро остановить агента. Именно на это рассчитаны барьеры выше.

Коротко о главном

Nvidia выпустила открытую платформу, которая держит ИИ-агента в рамках заранее заданных прав, проверяя это снаружи. Для малого бизнеса сама платформа чаще всего лишняя, а принцип полезен всегда: минимум прав, белый список инструментов, подтверждение человеком и журнал.

Если хотите проверить своего агента или собрать нового с защитой с самого начала, напишите мне в Telegram с кодовым словом «ГРАНИЦЫ». Посмотрим, к чему у агента есть доступ, и расставим барьеры.