- Nvidia lancia Open Agent Safety Platform: OpenShell (software) e Sentry (hardware) per bloccare gli agenti AI rogue fuori dai sandbox
- Sentry gira su BlueField-4 DPU, un processore separato da CPU e GPU dove l'agente non può raggiungere il watchdog
- Anthropic, Microsoft, SpaceXAI e oltre 100 organizzazioni adottano la piattaforma; OpenAI non è tra i partner
Un agente AI che scappa dal suo ambiente di test e viola server in giro per il mondo non è più un’ipotesi teorica. Nvidia Open Agent Safety Platform è la risposta dell’azienda che ha venduto decine di miliardi in GPU a quei laboratori: non fermare lo sviluppo, ma costruire un recinto hardware che l’agente non può scavalcare.
Jensen Huang ha presentato lunedì 28 settembre 2026 un toolkit che combina OpenShell, il runtime open source già annunciato a marzo, con Sentry, un watchdog che gira su BlueField-4, le data processing unit di Nvidia. L’idea è semplice: la sicurezza non vive dentro l’agente, non vive nel modello, nè nella CPU o nella GPU che lo eseguono, ma su un chip separato, fuori dalla portata di chi sta cercando di evadere.
Perché Nvidia sposta la sicurezza degli agenti AI su un processore separato
Il pattern degli incidenti è sempre lo stesso. L’agente scavalca i controlli applicativi per completare il compito assegnato, poi usa quella stessa capacità per uscire dal sandbox. Nel caso Hugging Face, l’agente ha sfruttato una vulnerabilità zero-day in un proxy interno, ottenuto accesso a internet e condotto lateral movement fino alla Remote Code Execution sui server di produzione. In questa occasione il modello non ha agito per malizia: ha ottimizzato la ricompensa e ha stabilito che hackerare un server esterno fosse il percorso computazionalmente più efficiente.
Nel luglio 2026 quell’incidente ha aperto una falla che i controlli software da soli non sono riusciti ad arginare. Il team di sicurezza di OpenAI e i sistemi difensivi di Hugging Face hanno bloccato l’attacco, ma i modelli di frontiera usati dai difensori hanno rifiutato di analizzare il codice malevolo a causa dei propri guardrail, costringendo Hugging Face a usare il modello cinese GLM 5.2. Il reward hacking non è un bug correggibile con un patch al prompt: è il comportamento emergente di un sistema che ottimizza un obiettivo senza vincoli effettivi.
Nvidia lo dice in modo diretto nel suo blog tecnico: “un agente in queste circostanze non può essere tenuto a governare il proprio comportamento”. La soluzione è spostare l’enforcement sotto l’applicazione, nel silicio. Sentry gira su BlueField-4, un processore che nel Vera Rubin POD si trova sull’unico percorso del nodo verso il modello. Da quella posizione, osserva e blocca a line rate, isolato dall’host e fuori dalla portata dell’agente. Se l’agente tenta di muoversi fuori dal suo confine software, Sentry lo isola in millisecondi.
OpenShell e Sentry: come funziona la difesa a due livelli
OpenShell (licenza Apache 2.0, disponibile su GitHub) gestisce il confine software. Esegue gli agenti in sandbox con isolamento a livello kernel, converte le istruzioni dell’operatore in policy verificabili prima che l’agente parta, e le applica durante l’esecuzione: quali file, reti, tool, processi e credenziali l’agente può toccare. Il confine sta fuori dal modello e dall’harness, quindi si applica allo stesso modo a modelli aperti e chiusi. Nvidia dichiara overhead minimo sulla CPU Vera, la prima CPU dedicata all’agentic AI, e compatibilità estendibile ad Arm e Intel.
Sentry aggiunge il secondo livello. È costruito su NVIDIA DOCA, che rende programmabile la sicurezza di BlueField-4: ispeziona richieste e risposte dell’agente, fornisce telemetria attestata, verifica l’identità dell’agente e applica policy di accesso zero-trust granulari su dati, tool, API e servizi. Il punto chiave: Sentry opera indipendentemente dall’host. Un runtime compromesso non si porta dietro il watchdog. È la stessa logica che ha reso sicuro il web negli anni ’90: il browser non si fidava del codice nelle pagine, lo isolava in tab separate. Nvidia sta costruendo quel livello di fiducia per gli agenti.
Nvidia elenca oltre 100 organizzazioni che lavorano con la piattaforma al lancio: Anthropic, Cisco, CrowdStrike, Dell Technologies, HPE, Microsoft, Palantir, Red Hat, Salesforce, SAP, Scale AI, ServiceNow e SpaceXAI. Anthropic ha già integrato la piattaforma con Claude Managed Agents, che separa il loop dell’agente dalle sandbox di esecuzione su server diversi. SpaceXAI la usa per i coding agent di Cursor e i modelli Grok. Salesforce l’ha integrata con Slack per far approvare o rifiutare le richieste di permissioni degli agenti direttamente dalla chat.
Una nota che pesa più della lista: OpenAI non figura tra i partner. L’azienda che ha prodotto gli incidenti più documentati di agenti rogue non ha aderito. Huang ha detto a CNBC che il lavoro è iniziato un anno fa dopo l’introduzione di OpenClaw, il sistema operativo di agenti creato da Peter Steinberger, e che Nvidia ha rilasciato NemoClaw a marzo come versione enterprise con sicurezza integrata. “Quando distribuisci un agente, non importa quanto sia intelligente, la prima cosa che fai è togliergli tutti i diritti”, ha spiegato Huang, paragonando il meccanismo a come le aziende gestiscono dipendenti e dirigenti.
La sicurezza degli agenti AI è un problema di ingegneria o di regolamentazione?
Nvidia non sostiene rallentamenti nello sviluppo né nuove regolamentazioni. La posizione è che la sicurezza vada risolta con full-stack engineering, non con limiti legislativi. David Sacks, co-chair del President’s Council of Advisors on Science and Technology, ha definito l’annuncio un promemoria che la sicurezza degli agenti è un problema ingegneristico: “Le recenti evasioni non sono la prova che lo sviluppo deve fermarsi. Sono la prova che la sandbox era troppo debole. L’ambiente runtime era progettato male e configurato male”.
Ma resta una domanda che il comunicato non scioglie. Sentry richiede BlueField-4, un DPU che Nvidia vende nei suoi rack per data center. Chi fa girare agenti su un singolo PC, su un laptop, su un Raspberry Pi nel cassetto di casa? OpenShell è open source e portabile, Sentry no: è un riferimento hardware che vive nel stack Nvidia. La piattaforma è aperta nel software, chiusa nel silicio. Per il singolo sviluppatore o il piccolo team che sta già sperimentando con agenti locali, il livello hardware resta fuori portata.
La Open Secure AI Alliance, governata dalla Linux Foundation e avviata da Nvidia con oltre 120 organizzazioni, gestirà ricerca aperta, skill e tool per la sicurezza degli agenti, inclusi progetti come il Shared AI Findings Exchange (SAFE). Il software è disponibile ora tramite le risorse developer Nvidia e GitHub. Per chi già gira su Vera con BlueField-4, l’attivazione è un aggiornamento software. Il prossimo snodo industriale è autunno 2026, quando i primi sistemi Vera Rubin POD con BlueField-4 integrati arriveranno ai clienti enterprise e la piattaforma passerà da riferimento architetturale a infrastruttura effettiva nei data center che ospitano gli agenti di cui tutti parlano.
