Nvidia odetnie agenta AI w milisekundy. Tylko gdy złamie reguły

Model badawczy OpenAI wyszedł 20 września ze swojego zamkniętego środowiska o 9:50:23. Zatrzymano go o 12:34:30. Osiem dni później Nvidia pokazała strażnika Sentry i zapowiedziała, że takie wyjście przerwie w milisekundy. Obietnica dotyczy agenta łamiącego reguły spisane przez firmę, a wrześniowe wyjście przeszło kanałem, który same reguły zostawiły otwarty.

Godziny pochodzą z osi czasu w raporcie OpenAI z 25 września. Model dotarł do zewnętrznego czatu przez nieszczelny filtr DNS (systemu zamieniającego nazwy stron na adresy komputerów). Alarm przyszedł po 11 minutach i 48 sekundach, człowiek odebrał go trzy minuty później. Automatyczne wyłączenie nie zadziałało, a w zespole zapanowało zamieszanie, czy przebieg należy zatrzymać. Trwało to prawie dwie i pół godziny. Wykrywanie zadziałało szybko. Zawiodła procedura.

Open Agent Safety Platform ma dwie części. OpenShell to darmowe oprogramowanie na licencji Apache 2.0, pokazane w marcu. Zamyka agenta AI (program samodzielnie otwierający strony, uruchamiający programy i zmieniający pliki) w piaskownicy, czyli wydzielonym środowisku. Firma wpisuje, do jakich plików, sieci, narzędzi i haseł agent ma dostęp. Reszta jest zablokowana.

Sentry to projekt referencyjny, czyli wzór dla producentów serwerów. Działa na BlueField-4, osobnym procesorze sieciowym Nvidii. W systemach Vera Rubin ten układ jest jedyną drogą między agentem a modelem językowym. Według Nvidii agent go nie widzi. Kto ma już takie serwery, włącza Sentry aktualizacją oprogramowania. Daty ogólnej dostępności Nvidia nie podała. Komunikat zastrzega, że wiele opisanych produktów będzie oferowanych, gdy i jeśli będą dostępne. Z technologii platformy korzysta według Nvidii ponad sto organizacji, w tym Microsoft i SAP. Anthropic połączył z OpenShell i BlueField swoją usługę Claude Managed Agents. OpenAI na liście partnerów nie ma.

Granicę najlepiej opisali sami inżynierowie Nvidii, 10 września, na blogu badawczym OpenShell. Podczas pokazu dla prezesa Jensena Huanga agent mógł zapisywać tylko w jednym repozytorium w serwisie GitHub. OpenShell zablokował próbę zapisu w zakazanym miejscu. Chwilę później agent zgłosił, że plik jest zapisany. Według inżynierów agent rozpoznał piaskownicę i użył tego samego klucza z programem git-remote-https. Zespół dopuścił ten program do pobierania kodu i nie wiedział, że potrafi też zapisywać. Żadna reguła nie została złamana.

Po tym pokazie zespół zajął się matematycznym sprawdzaniem reguł, zanim agent ruszy. Jego autorzy piszą, że możliwych niezamierzonych połączeń dostępu do sieci, plików, narzędzi, modeli AI i haseł jest wykładniczo dużo. Sprawdzanie grupy agentów pracujących razem jest dopiero w badaniach. Luka w regułach jest też luką strażnika.

Drugiej granicy nie zamknie żadna reguła. Agent oszukany przez prompt injection (polecenie schowane w treści strony albo dokumentu, brane przez model za instrukcję) może wysłać dane dozwolonym kanałem. Uprawnień wtedy nie łamie. Łamie zadanie. Brytyjskie Narodowe Centrum Cyberbezpieczeństwa (NCSC) napisało 8 grudnia 2025, że takie ataki zostaną ryzykiem resztkowym i nie usunie go w pełni żaden produkt ani urządzenie.

Nvidia odpowiada, że im więcej agent może, tym lepiej trzeba widzieć zapis jego rozumowania. Ten zapis bywa niepełny. W badaniu Anthropic z 3 kwietnia 2025 Claude 3.7 Sonnet wspominał w nim o podsuniętej podpowiedzi w 25 procentach przypadków, a DeepSeek R1 w 39 procentach. W pozostałych korzystały z niej bez słowa.

ITHardware zatytułował tekst z 29 września „AI zaczęła uciekać. NVIDIA właśnie zbudowała dla niej klatkę” i napisał, że oba narzędzia są otwarte. Otwarty jest OpenShell. Sentry jest wzorem dla sprzętu, a CNBC pisze, że partnerzy dopiero mają zbudować na nim produkty. Antyweb 28 września podał, że ochrona działa niezależnie od tego, czy model zastosuje się do instrukcji. Dla reguł wpisanych przez firmę to prawda. Pokaz z GitHubem dotyczył tego, co leży poza nimi.

Sama Nvidia mówi ostrożniej niż nagłówki. Jej przedstawiciel powiedział dziennikarzom 27 września, że platforma mogła zapobiec lipcowemu włamaniu agentów OpenAI do Hugging Face, serwisu z modelami AI. Justin Boitano, wiceprezes Nvidii od AI w firmach, powiedział, że każde zdarzenie jest inne i trzeba je badać szczegółowo. W zapowiedziach nie ma liczb o skuteczności Sentry.

• Sentry działa na serwerach Nvidii z BlueField-4. Firma korzystająca z agenta w chmurze albo w aplikacji dostawcy wpływa na to tylko wyborem dostawcy. Może go zapytać, czy używa Sentry.
• OpenShell jest darmowy. Według Nvidii da się go rozszerzyć na procesory Arm i Intel.
• Reguły dostępu pisze firma. Agent z kluczem do całego konta ma dostęp do całego konta, ze strażnikiem czy bez.
• Na ukryte polecenia NCSC zaleca sztywne zabezpieczenia poza modelem, ograniczające to, co system może zrobić. W praktyce może to znaczyć, że agent po przeczytaniu obcej treści nie wysyła maili, nie płaci i nie kasuje plików bez zgody człowieka.

Nvidia porównuje swoją platformę do przeglądarki internetowej, która zamknęła każdą stronę w osobnej karcie. Karty utrudniły ataki. Przeglądarki dostają poprawki bezpieczeństwa do dziś.