NVIDIAの新基盤はAIエージェントの暴走をどう防ぐ？

NVIDIAの「Open Agent Safety Platform」は、AIエージェントが何にアクセスできるかを実行時に制限するOpenShellと、エージェントのソフトウェア環境の外側から活動を監視するSentryを組み合わせた安全基盤だ。NVIDIAは、OpenAIのエージェントが関与したHugging Faceのセキュリティ事案をこの仕組みで防げたとしている。ただし、これは同社による事後的な説明であり、実際の事案で効果が実証されたわけではない。10

OpenShellはエージェントの「できること」を制限

OpenShellは、AIエージェントをカーネルレベルで隔離されたサンドボックス内で動かすオープンソースのランタイムだ。ポリシーによって、ファイル、認証情報、プロセス、外部ネットワークへのアクセスを制限する。エージェント自身に指示を守らせるだけでなく、実行環境側で権限を適用する点が特徴だ。13

エージェントが想定外の振る舞いをした場合も、本人の判断がそのまま権限を決めるわけではない。一方で、実際の封じ込めはシステムの導入・設定に左右される。サブエージェントにも制約をかけるには、その子エージェントにも強制される境界を設ける必要がある。 子エージェントを起動したことだけで制限を突破したとはいえないが、親の制約がすべての子に自動で引き継がれると、資料から確認できるわけでもない。OpenShellはセキュリティ設計であって、あらゆる突破を防ぐ保証ではない。13

Sentryはソフトウェア環境の外から監視

Sentryは、NVIDIAのBlueField技術を使うハードウェア支援型の監視設計として説明されている。エージェントのランタイム内にある制御だけに頼らず、その外側のインフラから活動を監視し、必要に応じて介入することを目指す。介入にはネットワークレベルでの隔離も含まれる。

つまり、OpenShellは実行環境の権限を設定・適用し、Sentryは監視と対応を担う。NVIDIAは、この二層構成によってソフトウェア側の制御だけでは見逃す可能性のある動きを検知し、封じ込められると説明する。ただし、これは提案されたアーキテクチャであり、すべての脅威を検知・阻止できる証明ではない。10

Hugging Faceの事案は「実地テスト」ではない

NVIDIAは、この基盤があればHugging Faceの事案を防げたと主張している。Reutersも発表とともにこの説明を報じたが、公開情報からは、事案発生時にOpenShellやSentryが導入されていたとは確認できず、当時の状況でどのように機能したかが独立に検証されたともいえない。

したがって、この事案はNVIDIAの製品説明の背景ではあるものの、性能を示すテスト結果ではない。ある種のリスクに対応できる設計を示すことと、特定の侵入を防げると実証することは別の話だ。

Arm、Intel、Anthropicとの連携

NVIDIAは、OpenShellをArmおよびIntelのプロセッサでも利用できるよう取り組んでいる。自社のプロセッサにとどまらず、対応範囲を広げる狙いだ。また、Anthropicはプラットフォーム発表に関わるパートナーの一社として挙げられている。

こうした連携は、互換性や導入先を広げようとする動きを示す。ただし、パートナー各社がすでにツールを導入したことや、異なるシステムでも同じハードウェア機能が利用できることまで意味するわけではない。

技術的な対策だけで、ガバナンスの議論は終わらない

この基盤が扱うのは、権限の設定、境界の適用、活動の監視、ポリシー違反への対応といった技術面だ。エージェントの安全を支える要素にはなり得るが、製品の発表だけで責任の所在や監査、規制の問題が解決するわけではない。

NVIDIAのCEO、ジェンスン・フアン氏は、AI企業も通常の独占禁止法や賠償責任に関する法律の適用免除を受けるべきではないと述べている。 これはプラットフォームの技術設計とは別の論点だ。エージェントを安全に動かす仕組みと、問題が起きた際に誰が責任を負うのかは、分けて考える必要がある。