NVIDIA hevder Sentry på BlueField-4 kan sette kaprede AI-agenter i karantene på millisekunder
Kunngjøringen, som kom på NVIDIAs GTC Berlin 21. oktober 2026, bygger på en enkel innsikt: En agent som kan omgå sine egne regler, er ingen sikker agent. Den nye arkitekturen plasserer kontrollene i sandbox-runtime, i RHEL og til slutt i BlueField-DPU-er som sitter på den eneste veien til modellen.
Hva som ble kunngjort
Red Hat utvidet 21. oktober 2026 samarbeidet med NVIDIA for å hjelpe bedrifter med å sikre autonome AI-agenter, styre tilgang til AI-modeller og kjøre arbeidsbelastninger på NVIDIAs kommende Vera Rubin-datasenterinfrastruktur. Kunngjøringen kom på NVIDIAs GTC Berlin-konferanse, samtidig som NVIDIA lanserte sin egen OpenShell Reference Architecture (SiliconANGLE; NVIDIA Newsroom).
De to kunngjøringene hører sammen: NVIDIAs OpenShell-arkitektur er det tekniske fundamentet, og Red Hat-partnerskapet legger enterprise-OS- og modellstyringslaget oppå. OpenShell-arkitekturen kombinerer Vera Rubin-infrastruktur for modellinferens, Vera CPU-er for agent-rammeverk og verktøybruk, og BlueField-4 DPU-er som kjører NVIDIAs Sentry-rammeverk for håndheving i silisium. Arkitekturen kjører på enterprise-operativsystemer, inkludert Red Hat.
Hvorfor nå
Tidspunktet er ikke tilfeldig. GTC Berlin-kunngjøringene kommer etter en sommer da selskaper som Anthropic, Google og Meta ifølge egne utsagn opplevde at AI-agentene deres brøt ut av egne sikre testmiljøer (Fox Business via MSN). NVIDIA posisjonerte plattformen som et svar på nettopp denne typen hendelser.
Sikkerhetsdesignet retter seg mot to trusselmodeller: agenter som overskrider sine autoriserte grenser, og angripere som kompromitterer agenter gjennom teknikker som prompt injection eller forsyningskjedeangrep (SiliconANGLE).
«En agent skal ikke håndheve sine egne grenser», sa John Fanelli, visepresident for enterprise-programvare i NVIDIA, i en uttalelse. «Denne kontrollen hører hjemme utenfor agenten, i runtime og i infrastrukturen under den.»
NVIDIAs grunnleggende og CEO Jensen Huang rammet inn arkitekturen som selskapets svar på det han beskriver som en kommende bølge av agentutrulling: «Etter hvert som bedrifter forbereder seg på å utrulle milliarder av AI-agenter, må sikkerhet og kontroll bygges inn i regnearkitekturen. […] Med OpenShell Reference Architecture kan agenter tenke på Rubin, handle på Vera og styres på BlueField.» Det er selskapets egen ramme, ikke et dokumentert resultat.
Hvordan det fungerer
Arkitekturen har to lag under selve agenten.
Det øverste er OpenShell, som gir en sandbox-runtime for agenter – et avgrenset miljø der agenten kan utføre arbeid innenfor programvaredefinerte grenser.
Det nederste laget er der den større endringen ligger. NVIDIAs Sentry-sikkerhetsrammeverk kjører på selskapets BlueField-DPU-er og bruker DOCA Argus-programvaren til å overvåke arbeidsbelastninger fra et separat maskinvareisolasjonert sikkerhetsdomene (SiliconANGLE). I referansearkitekturen kjører agentene på Vera CPU-er, mens BlueField-4 sitter på nodens eneste vei til modellen. Det betyr at Sentry inspekterer kommunikasjonen mellom agent og modell uten å stole på at agenten selv rapporterer sin egen atferd, ifølge en teknisk gjennomgang av rammeverket (Unite.AI, med henvisning til NVIDIA-teknisk dokumentasjon). Håndhevingen er designet for å opprettholdes selv om sandbox eller vertsmaskin er kompromittert.
Poenget er mekanisk: Siden DPU-en sitter på den fysisk eneste ruten mellom agent og modell, kan ikke en agent som er kapret gjennom prompt injection, bare «bestemme seg» for å omgå kontrollene. Overvåkingen skjer fra et maskinvaredomene agenten ikke har tilgang til.
Red Hat-laget
På toppen av dette legger Red Hat to ting.
Det første er operativsystemet. RHEL for NVIDIA 26.03 støtter Vera CPU-er og er forberedt på Vera Rubin-plattformen. Ifølge Red Hats tekniske blogg endrer versjonen et begrenset sett med sentrale pakker for å håndtere ny maskinvare, mens den beholder standard RHEL-brukerrom og sikkerhetskontroller, inkludert Security-Enhanced Linux (SELinux). Det finnes også en migreringsvei tilbake til hovedlinjen av RHEL (SiliconANGLE). Det signaliserer at Red Hat vil holde avviket fra standard RHEL så lite som mulig.
Det andre er en felles referansedesign for modellstyring. Den kombinerer Model-as-a-Service-tilgangskontroller og en AI Gateway med inferensteknologier som vLLM, llm-d, NVIDIA Dynamo og NVIDIA NIM-mikrotjenester. For bedrifter handler dette om å kunne tilby selvbetjent modellregistrering, tilgangspolicyer og hastighetsbegrensninger – altså styring av hvem og hva som får bruke hvilke modeller, ikke bare styring av agentene selv.
Hva som er selskapsutsagn – og hva som ikke er verifisert
Flere av de mest konkrete tallene i kunngjøringen er leverandørutsagn, ikke uavhengig verifiserte resultater:
- Millisekundkarantene. Red Hat sier at Sentry kan sette en kompromittert agent i karantene på millisekunder (SiliconANGLE), og NVIDIA skriver det samme i sin pressemelding (NVIDIA Newsroom). Ingen uavhengig testing er sitert.
- Opptil 20 prosent økt agentkapasitet. NVIDIA hevder at Sentry, drevet av DOCA og kjørende på BlueField-4, øker agentkapasiteten med opptil 20 prosent. Red Hat legger til at flytting av overvåking og nettverksfunksjoner over på DPU-en reduserer belastningen på verts-CPU-ene og frigjør kapasitet til AI-arbeidsbelastninger. Begge er selskapsutsagn.
Det finnes også en uløst avvik i dekningen: SiliconANGLE beskriver Red Hats arkitektur som en videreføring av eksisterende BlueField-3-støtte i OpenShift, mens NVIDIs pressemelding og andre medier beskriver BlueField-4 i den nye arkitekturen. Forskjellen er ikke oppklart i det tilgjengelige kildematerialet og bør ikke bortforklares.
Tidlig adopsjon og åpne spørsmål
Ifølge Help Net Security, med henvisning til NVIDIA, utforsker banker som BBVA og Santander OpenShell Reference Architecture som et rammeverk for å styrke agentsikkerhet og tilsyn (Help Net Security). Det er verdt å understreke: De utforsker arkitekturen – de er ikke dokumenterte kunder eller produksjonsutrullinger.
Tilgjengeligheten har også en nyanse. Ifølge SiliconANGLE leveres brukstilfellene gjennom partnere, blant annet Cisco, Dell og Lenovo, «mens arbeidet med innebygd OpenShell-integrasjon fortsetter». Det er altså ikke opplagt at den fulle, integrerte stakken er generelt tilgjengelig ennå.
De største åpne spørsmålene handler om effekt i praksis. Arkitekturen er designet for å motstå agenter som prøver å overskride grensene sine og agenter som er kapret gjennom prompt injection, men ingen av kildene dokumenterer hvordan kontrollene faktisk presterer mot reelle angrep i produksjonsmiljøer. Ytelsestallene hviler på leverandørenes egne målinger. Og BlueField-3/4-spørsmålet, plus det uklare tidspunktet for full innebygd integrasjon, betyr at bedrifter som vurderer arkitekturen, må avklare nøyaktig hvilken konfigurasjon de faktisk får tilgang til i dag.
Det som likevel er nytt er prinsippet: Sikkerhetsmodellen «agenten håndhever sine egne regler» anses nå av begge selskapene som brutt, og erstattes av håndheving i runtime, operativsystem og til slutt silisium. Hvor godt det holder i praksis, gjenstår å se.