NVIDIA Sentry đặt phần giám sát agent AI trên chip BlueField-4, ngoài tầm với của chính agent
NVIDIA Sentry giám sát và chặn agent AI từ chip BlueField-4, tách khỏi máy chủ chạy agent. Ba câu hỏi để kiểm vị trí đặt giám sát của bạn.
Xong bài này bạn làm được Người đọc liệt kê từng khâu giám sát, chặn và ghi nhật ký của agent đang chạy cùng máy hay cùng quyền với agent, rồi thử xem một agent bị chiếm quyền có sửa hay tắt được khâu đó không trước khi giao thêm quyền cho agent.
Giả sử một agent (phần mềm AI tự gọi công cụ) của bạn thoát khỏi sandbox (môi trường chạy cách ly) mà nó được giao. Việc đầu tiên nó chạm tới có thể là chính phần mềm đang giám sát và ghi nhật ký nó, vì phần mềm đó chạy cùng máy. Ngày 21/10/2026, NVIDIA đăng bài kỹ thuật về NVIDIA Sentry, một khung phần mềm bảo mật đặt phần giám sát đó ở chỗ agent không với tới. Sentry chưa phát hành, nhưng câu hỏi nó đặt ra dùng được ngay cho hệ thống của bạn.
Sentry giám sát agent ở đâu
Bài do Ofir Arkin, Ariel Kit và Itay Ozery viết trên blog kỹ thuật của NVIDIA. Họ nêu vấn đề: agent có thể hoàn thành việc được giao mà vẫn vượt qua ranh giới bảo mật, vì dùng công cụ, thông tin đăng nhập và dịch vụ để đạt mục tiêu. Vì vậy theo bài, phần giám sát và chặn phải chạy ngoài tầm với của agent để agent không sửa hay tắt được.
Sentry chạy trên BlueField-4, một loại DPU (bộ xử lý dữ liệu, con chip nằm trên card mạng và xử lý lưu lượng thay cho CPU chính) của NVIDIA. Trong kiến trúc tham chiếu OpenShell của hãng, agent chạy trên Vera, dòng CPU (bộ xử lý trung tâm) của NVIDIA, còn BlueField-4 nằm trên đường duy nhất tới mô hình, nên mọi lưu lượng mạng của agent đều đi qua nó. Bài mô tả ba mảnh chính:
- DOCA Tower, cổng kiểm lưu lượng. (DOCA là bộ thư viện phần mềm của NVIDIA cho BlueField mà Sentry dùng làm nền.) Xây trên Envoy (proxy mã nguồn mở, tức phần mềm trung gian chuyển tiếp lưu lượng giữa hai bên), nó đứng giữa agent và bên ngoài, kiểm cả yêu cầu đi ra lẫn phản hồi đi vào. Nó hỏi Open Policy Agent (bộ máy đánh giá chính sách mã nguồn mở) xem yêu cầu có được phép không; theo bài, bộ máy này chạy trong bộ nhớ và đánh giá trong chưa đầy một phần nghìn giây, tùy độ phức tạp của chính sách.
- DOCA Argus, quan sát môi trường chạy. Nó đọc bộ nhớ máy chủ từ BlueField-4 mà không cài phần mềm trên máy chủ. Nó ghép tiến trình, container (gói phần mềm chạy cách ly cùng những gì nó cần) và file đang được truy cập với từng yêu cầu mạng. Nhờ vậy chính sách có thể đòi, chẳng hạn, mã băm của container nằm trong danh sách được duyệt và tiến trình gửi yêu cầu có trong bảng thành phần phần mềm (SBOM) của container.
- Bộ phân loại hành vi. Các mô hình chạy riêng trên máy GPU đọc cuộc trao đổi và lệnh gọi công cụ để đánh giá agent còn đúng ý định thiết kế hay đã lệch.
Khi phát hiện lệch, Sentry có thể cách ly agent trong vài phần nghìn giây ngay trên chip, mà không cần agent hay phần mềm máy chủ hợp tác. Nhật ký cũng được lưu trên BlueField-4; theo NVIDIA, đây là bản ghi để lại dấu vết nếu bị sửa, dùng để điều tra cả khi không tin được máy chủ. Đây là mô tả của chính NVIDIA, bài không nêu đo đạc độc lập. Hãng nói Sentry dự kiến ra mắt đầu năm sau, còn các thư viện DOCA như DOCA Argus đã có để thử quan sát và thực thi ngoài máy chủ.
Ba câu hỏi về vị trí đặt giám sát
Bạn có thể không có BlueField-4 và không cần nó để hỏi ba câu sau. Chúng là gợi ý của bài này, chưa thử trên hệ thống nào.
- Phần chặn agent nằm ở đâu so với agent? Lập danh sách mọi khâu chặn quyền: bộ lọc lưu lượng, kiểm chính sách, giới hạn file. Với từng khâu, ghi nó chạy cùng máy, cùng tiến trình hay cùng quyền với agent không. Nếu có, một agent bị chiếm quyền có thể sửa nó. Hãy thử: trong môi trường thử, cho agent chạy lệnh tắt hoặc sửa khâu đó và xem có được không.
- Nhật ký về agent do ai ghi? Nếu chính máy chạy agent ghi nhật ký, agent thoát sandbox có thể xóa dấu vết. Thử xóa hoặc sửa một dòng nhật ký bằng quyền của agent. Nếu làm được, bạn cần một nơi ghi ở ngoài máy đó, hoặc đừng coi nhật ký là bằng chứng.
- Mọi đường ra khỏi máy có đi qua điểm kiểm không? Bài của NVIDIA chọn cách đặt BlueField-4 trên đường duy nhất tới mô hình và tới bên ngoài. Hãy kiểm một đường ngoài điểm kiểm, như kết nối trực tiếp hay cổng phụ, bằng cách cho agent thử gọi thẳng ra internet.
Nếu cả ba câu có đáp án ghi được trong một dòng, bạn biết phần giám sát của mình đứng ở đâu so với agent. Nếu câu nào trả lời “chưa biết”, đừng giao thêm quyền cho agent cho tới khi biết.
Nguồn tham khảo
- NVIDIA Technical Blog, “Inside NVIDIA Sentry: Secure AI Agents at Runtime” (21/10/2026) — mô tả của NVIDIA về DOCA Tower, DOCA Argus, chính sách Open Policy Agent, cách ly trên chip BlueField-4, bản ghi để lại dấu vết khi bị sửa và thời gian dự kiến ra mắt.