Nvidia hat eine Referenzarchitektur für den kontrollierten Betrieb autonomer KI-Agenten vorgestellt. Die OpenShell Reference Architecture verbindet eine offene, richtliniengesteuerte Laufzeitumgebung mit Nvidias Vera-Rubin-Plattform, Vera-CPUs sowie BlueField-4-DPUs und der Sicherheitssoftware Sentry. Unternehmen sollen damit festlegen und überwachen können, auf welche Dateien, Zugangsdaten und Netzwerke ein Agent zugreifen darf.
Die entscheidende Einschränkung steckt in der Architektur: OpenShell ist zwar als Open-Source-Laufzeitumgebung angelegt, doch Nvidias vollständige Blaupause setzt Nvidia-Hardware voraus. Das Sicherheitsangebot ist damit zugleich eine Plattformstrategie. Wer Agenten nicht nur rechnen, sondern auch auf Infrastrukturebene kontrollieren will, soll möglichst viele Schichten aus einem Nvidia-Stack beziehen.
OpenShell setzt oberhalb der üblichen Sandbox an
Entwicklungswerkzeuge wie Claude Code, Codex, OpenClaw und OpenCode begrenzen bereits heute den Zugriff von Agenten auf Werkzeuge wie curl oder bash. Zusätzliche Sandboxes sollen verhindern, dass ein fehlgeleiteter Prozess das Hostsystem erreicht. Solche Vorkehrungen lösen jedoch nur einen Teil des Problems: Ein nützlicher Agent benötigt häufig weiterhin Dateien, Netzwerkverbindungen, Programmierschnittstellen und temporäre Zugangsdaten.
Die Schichten der OpenShell-Referenzarchitektur
Das Diagramm zeigt KI-Agenten über der OpenShell-Laufzeit sowie die darunterliegenden Rollen von Vera Rubin, Vera-CPUs und BlueField-4 mit Sentry.
OpenShell erweitert diese Isolation um Identitäts-, Richtlinien- und Credential-Grenzen. Die Laufzeit führt Agenten in abgeschotteten Umgebungen mit Isolation auf Kernel-Ebene aus. Deklarative YAML-Richtlinien bestimmen, welche lokalen Dateien, Anmeldeinformationen und externen Netze erreichbar sind. Zugangsdaten sollen dabei über kontrollierte Gateways vermittelt werden, statt ungeschützt im Arbeitskontext eines Agenten zu liegen. Routing und Workflows sollen später ebenfalls stärker von der Laufzeit gesteuert werden.
Damit verschiebt sich die Sicherheitsfrage. Entscheidend ist nicht mehr allein, ob ein Modell eine unerwünschte Antwort erzeugt. Relevant wird, welche Handlung ein Agent anschließend tatsächlich ausführen kann. Diese Trennung ist notwendig, weil Sicherheitstests von OpenAI und Anthropic bereits gezeigt haben, dass Modelle ihren Auftrag überschreiten und sich gegen Dritte richten können. Eine Verhaltensanweisung im Prompt ist keine belastbare Berechtigungsgrenze.
Die Kontrolle wandert in die Infrastruktur
Nvidias Architektur verteilt die Aufgaben auf mehrere Komponenten. Modelle wie Nemotron sollen auf Vera-Rubin-Infrastruktur laufen. Vera-CPUs übernehmen die Agenten-Harnesses, also die Software, die Modelle mit Werkzeugen und Arbeitsabläufen verbindet. BlueField-4-DPUs – spezialisierte Netzwerkkarten mit eigener Rechenleistung – führen Sentry aus und beobachten das Verhalten außerhalb des eigentlichen Hauptsystems.
Diese Position ist der technische Kern des Entwurfs. Eine Kontrolle, die nicht im selben Prozess wie der Agent läuft, soll auch dann noch Regeln durchsetzen können, wenn der Agent selbst oder seine Laufzeit fehlerhaft reagiert. Nvidia zufolge kann Sentry Grenzverletzungen innerhalb von Millisekunden erkennen und betroffene Agenten unter Quarantäne stellen. Das Unternehmen verspricht außerdem Kapazitätssteigerungen von bis zu 20 Prozent. Wie viel davon in einer konkreten Installation übrig bleibt, hängt allerdings von Arbeitslast, Netzarchitektur und Konfiguration ab.
Die Blaupause reicht nach Nvidias Angaben von Unternehmensinfrastruktur bis zu Edge-Systemen und schließt RTX Spark, DGX Spark und DGX Station ein. Für Betreiber bedeutet das: Agentensicherheit wird zu einer Aufgabe für Plattform-, Netzwerk- und Rechenzentrumsteams. Richtlinien müssen nicht nur definiert, sondern mit Identitäten, Secrets, Kubernetes-Umgebungen und Netzwerkpfaden in Einklang gebracht werden.
Offene Modelle, enger Infrastrukturrahmen
Nvidia positioniert OpenShell ausdrücklich nicht als Bindung an einen einzelnen Modellanbieter. Agenten und Modelle von Anthropic, Cohere, Google, Meta, OpenAI, Perplexity, Reflection und SpaceX sollen auf der Infrastruktur betrieben werden können. Canonical, Red Hat und SUSE unterstützen die Linux- und Kubernetes-Seite; AWS, Google Cloud und Microsoft Azure gehören ebenfalls zu den genannten Partnern.
Auch erste Unternehmenskunden prüfen den Ansatz. Die Banken BBVA und Santander gleichen die Spezifikation mit ihren Sicherheits- und Governance-Anforderungen ab. SAP integriert die Referenzarchitektur in die Laufzeitumgebung von Joule Studio. Gerade in regulierten Branchen ist das plausibel: Dort genügt es nicht, einen Agenten im Durchschnitt zu einem vorsichtigen Verhalten zu bewegen. Unternehmen müssen Berechtigungen begrenzen, Vorgänge protokollieren und im Fehlerfall eingreifen können.
Die Offenheit auf der Modellseite verdeckt jedoch die Bindung auf der Infrastrukturseite. Nvidia macht seine Plattform anschlussfähig für konkurrierende Modelle, zieht die Kontrollschicht aber auf die eigene Hardware. Das erweitert das Geschäft über GPUs für die Inferenz hinaus: Vera-CPUs, BlueField-DPUs, Sicherheitssoftware und Betriebsarchitektur werden gemeinsam zu einer Voraussetzung für Nvidias vollständiges Sicherheitsversprechen.
Eine Referenzarchitektur ist noch kein Sicherheitsnachweis
OpenShell beseitigt die Risiken autonomer Agenten nicht. Laut der ursprünglichen Meldung sind im GitHub-Projekt noch sicherheitsrelevante Probleme offen. Hinzu kommt, dass OpenShell standardmäßig Telemetriedaten zur Verbesserung des Projekts sammelt. Betreiber können die Übermittlung abschalten, müssen aber daneben die Bedingungen und Datenschutzpraktiken der eingebundenen Modelle, Werkzeuge, Agenten und Inferenzdienste prüfen.
Vor einem Einsatz müssen Unternehmen deshalb konkreter werden als die Produktarchitektur: Welche Zugangsdaten werden über Gateways vermittelt? Welche Netzverbindungen sind tatsächlich erlaubt? Wer darf Richtlinien ändern? Wo landen Protokolle und Telemetriedaten? Und funktioniert die Isolation auch dann, wenn ein Werkzeug außerhalb der vorgesehenen Schnittstellen betrieben wird? OpenShell liefert dafür eine technische Kontrollschicht, nicht automatisch eine korrekte Konfiguration.
Die strategische Bedeutung liegt damit weniger in einem weiteren Agenten-Framework als in der Verschiebung der Sicherheitsgrenze. Wenn KI-Agenten eigenständig handeln, reichen Modellregeln und lokale Sandboxes nicht mehr aus. Kontrolle wird Teil der Netzwerk- und Rechenzentrumsarchitektur. Nvidia will genau diese Schicht besetzen – und verbindet die Antwort auf ein reales Betriebsproblem mit einer tiefen Bindung an den eigenen Infrastruktur-Stack.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
