NVIDIA OpenShell: AIエージェントに堅牢な実行時制御を付与するオープンソースランタイム
NVIDIA OpenShellの概要とAIエージェントにおける必要性
NVIDIA OpenShellは、AIエージェントの実行、アクセス、および推論の経路を管理するためのオープンソースのセキュアなランタイムです。これはNVIDIA Open Agent Safety Platformの一部として提供され、エージェントが自律的に動作する際に発生しうる潜在的なリスク（データ流出、資格情報の盗難、不正なAPI使用、特権昇格など）に対処するために設計されています。AIエージェントは、コードを記述したり、ツールを使用したり、新しい情報に基づいて継続的に作業を進めたりすることで、ソフトウェア障害の調査、実験の実行、ビジネス上重要なアクションの実行など、数日または数週間にわたるタスクを遂行できます。しかし、このような広範なアクセスは、本番データの変更、機密情報の漏洩、割り当てられたタスクを超えた行動など、重大な失敗モードにつながる可能性があります。
OpenShellは、エージェントの機能と、アクセスを明示的に制御する間のトレードオフを解決します。本質的にゼロトラスト環境でエージェントを実行し、明示的に許可されない限り、いかなる操作もデフォルトで拒否されます。これにより、AIエージェントが予期せぬ動作をした場合でも、その影響を限定し、システム全体のセキュリティを強化することが可能になります。OpenShellは、既存のエージェントコードを書き直すことなく、実行時に強制可能な制御を適用できるため、開発者は迅速かつ安全にAIエージェントを導入できます。
アーキテクチャとセキュリティ機構の詳細
NVIDIA OpenShellの堅牢なセキュリティは、そのモジュール化されたアーキテクチャによって実現されています。主要なコンポーネントは、ゲートウェイ (Gateway)、スーパーバイザー (Supervisor)、およびサンドボックス (Sandbox) です。
-
サンドボックス (Agent Sandboxes): 各AIエージェントは、独自の隔離されたサンドボックス内で実行されます。このサンドボックスは、オペレーティングシステムカーネルレベルの制御（例：Landlock）を利用して、ワークロードが読み書きできるファイルを制限し、追加のシステム特権の取得を防ぎます。サンドボックスには直接的なネットワークアクセス経路がなく、すべての外部通信はスーパーバイザーを介して行われます。これにより、エージェントのプロセスアイデンティティ、ファイルシステムアクセス、ネットワーク出力、ランタイム資格情報などに対して厳格なローカルセキュリティ境界が設定されます。
-
スーパーバイザー (Supervisor): スーパーバイザーは、各サンドボックスワークロードの外部で動作し、エージェントの実行を監視します。これはサンドボックスをゲートウェイに接続し、エージェントからのアウトバウンドリクエストをポリシーに照らして評価します。バイナリ、宛先、メソッド、パスレベルでのすべてのネットワークリクエストを検査し、ポリシーが許可する場合にのみ資格情報を提供します。エージェントがシェルを起動したり、生成されたコードを実行したり、子プロセスを起動したり、サブエージェントへのタスク委譲を提案したりする際にも、これらの制御は維持されます。
-
ゲートウェイ (Gateway): ゲートウェイはOpenShellのコントロールプレーンであり、APIアクセス、永続状態、サンドボックスのライフサイクル、設定の配信、認証、およびリレー調整を管理します。複数のサンドボックスのライフサイクルとポリシーを管理し、グループ全体にわたるガバナンスを可能にします。
さらに、OpenShellはポリシープロバー (Policy Prover) を含んでいます。これは形式的検証を利用して、ポリシーが許可されたアクセス境界内に留まっているか、また提案されたネットワークルールが現在のサンドボックスポリシーと比較してリスクのあるアクセスを追加しないかをチェックします。この多層的なアプローチにより、AIエージェントが意図した範囲内で確実に動作するよう、強固なセキュリティ基盤が提供されます。特に、HTTP、GraphQL、およびModel Context Protocol (MCP) トラフィックを検査する機能は、エージェントが書き込み可能なキーを保持している場合でも、同じAPI経由でのデータクエリを許可しつつ書き込みをブロックするなど、極めて詳細な制御を可能にします。
開発者・エンジニア視点での考察
-
コンプライアンスと監査の簡素化: OpenShellは、ポリシーを「Policy-as-Code」（宣言的なYAMLポリシー）として扱うことを可能にし、バージョン管理されたセキュリティ制御としてレビューおよび監査できます。すべての「許可」および「拒否」の決定は監査証跡のためにログに記録されるため、規制の厳しい業界や企業のコンプライアンス要件を満たす上で、開発チームはセキュリティ設定の変更履歴とエージェントの行動を明確に追跡できるようになります。これは、手動での監査プロセスを大幅に削減し、コンプライアンス体制を自動化する上で非常に有効です。
-
既存エージェントとのシームレスな統合と開発効率の向上: OpenShellの最大の利点の一つは、既存のAIエージェントのコードを書き換えることなく、その周囲に実行時制御を追加できる点です。セキュリティとガバナンスはエージェントのプロセス外部で強制されるため、開発者は既存のモデルやハーネス（Codex、Claude Code、Pi、Hermesなど）を活用しつつ、セキュリティ層を後から追加することが可能です。これにより、開発サイクルが短縮され、エージェントの機能開発とセキュリティ強化を並行して進めることができるため、市場投入までの時間を大幅に短縮できます。
-
APIおよびリソースアクセスの高度な粒度制御: OpenShellは、単なるネットワーク接続の許可ではなく、APIトラフィックの深層検査を通じて、より具体的なアクセス制御を可能にします。例えば、エージェントが書き込み可能なサービスキーを保持している場合でも、特定のAPIへのデータクエリは許可し、同じAPI経由でのデータ書き込みはブロックするといった制御が可能です。これは、エージェントに広範な権限を与えることなく、特定のタスクに必要な最小限のアクセスのみを許可する「最小権限の原則」を厳格に適用することを可能にし、AIエージェントの能力を最大限に引き出しつつ、意図しない行動によるリスクを最小限に抑えるための重要な機能です。
Source / 元記事
この記事について
この記事は、公開されているニュース、論文、公式発表、RSSフィードなどをもとに、AIが要約・補足調査・考察を行って作成しています。
元記事の完全な翻訳・逐語的な要約ではなく、AIによる背景説明や開発者向けの考察を含みます。
重要な技術仕様・価格・提供状況などは、必ず元記事または公式情報をご確認ください。
