NVIDIA Sentryは、AIエージェントの監視をエージェントの手が届かないBlueField-4チップに置く
NVIDIA SentryはBlueField-4チップから、エージェントを動かすホストとは切り離してAIエージェントを監視し遮断する。監視の置き場所を確かめる3つの問い。
あなたのエージェント（自分でツールを呼び出すAIソフトウェア）が、与えられたサンドボックス（隔離された実行環境）から抜け出したとします。最初に触れるのは、そのエージェントを監視し記録しているソフトウェアかもしれません。同じマシンで動いているからです。2026年10月21日、NVIDIAは、その監視をエージェントの手が届かない場所に置くセキュリティソフトウェアのフレームワーク、NVIDIA Sentryについて技術記事を公開しました。Sentryはまだ提供されていませんが、この記事が投げかける問いは、今のあなたのシステムにも当てはまります。
Sentryはエージェントをどこで監視するのか
記事はNVIDIAの技術ブログで、Ofir Arkin、Ariel Kit、Itay Ozeryが書いています。問題の立て方はこうです。エージェントは、ツール、認証情報、サービスを使って目標を達成するため、与えられた仕事を終えながらセキュリティ上の境界を越えることがあります。そのため記事によれば、監視と遮断はエージェントの手が届かない場所で動き、エージェントが変更も停止もできないようにしなければなりません。
SentryはBlueField-4の上で動きます。BlueField-4はNVIDIAのDPU（データ処理ユニット。ネットワークカード上にあり、メインのCPUの代わりに通信を処理するチップ）です。同社のOpenShell参照アーキテクチャでは、エージェントはNVIDIAのCPU（中央演算処理装置）であるVera上で動き、BlueField-4はノードからモデルへ至る唯一の経路上にあります。そのため、エージェントのネットワーク通信はすべてここを通ります。記事は3つの主要部品を説明しています。
- DOCA Tower（通信を検査するゲートウェイ）。（DOCAは、SentryがもとにしているBlueField向けのNVIDIAのソフトウェアライブラリです。）オープンソースのプロキシ（2者のあいだで通信を中継するソフトウェア）であるEnvoyの上に作られ、エージェントと外部のあいだに立って、行きの通信も戻りの通信も検査します。リクエストを許可してよいかは、Open Policy Agent（オープンソースのポリシー評価エンジン）に問い合わせます。記事によれば、このエンジンはメモリ上で動き、ポリシーの複雑さにもよりますが、1ミリ秒未満で評価できます。
- **DOCA Argus（実行環境の観察）。**ホスト側にソフトウェアを入れずに、BlueField-4からホストのメモリを読みます。アクセスされているプロセス、コンテナ（必要なものと一緒に隔離して動かすソフトウェアのまとまり）、ファイルを、個々のネットワーク要求に結びつけます。これにより、たとえばコンテナのハッシュが承認済みの一覧にあること、要求を出したプロセスがコンテナのソフトウェア部品表（SBOM）に載っていることを、ポリシーで求められます。
- **挙動の分類器。**GPUのシステム上で別に動くモデルが、やり取りとツール呼び出しを読み、エージェントが設計どおりの意図にとどまっているか、逸脱したかを判定します。
逸脱を検知すると、Sentryはエージェントやホストのソフトウェアの協力なしに、チップ上でミリ秒単位でエージェントを封じ込められます。ログもBlueField-4に保存されます。NVIDIAによれば、これは改ざんされると痕跡が残る記録で、ホストを信頼できない場合でも調査に使えるものです。これはNVIDIA自身の説明で、記事に独立した計測はありません。同社はSentryの提供開始を来年初めごろと予定しており、DOCA Argusなどのライブラリは、ホストの外での観察と強制を試すためにすでに利用できると述べています。
監視の置き場所を確かめる3つの問い
BlueField-4がなくても、次の3つの問いは立てられます。これは本記事の提案であり、どのシステムでも試していません。
- **エージェントを止める仕組みは、エージェントから見てどこにあるか。**通信フィルター、ポリシーの確認、ファイルの制限など、権限を止めるステップをすべて書き出します。それぞれについて、エージェントと同じマシン、同じプロセス、同じ権限で動いているかを記録します。そうなら、乗っ取られたエージェントがそれを変更できるかもしれません。試し方は、テスト環境でエージェントにそのステップを止める、または書き換えるコマンドを実行させ、通るかどうかを見ることです。
- **エージェントについてのログは誰が書いているか。**エージェントが動くマシン自身がログを書いているなら、サンドボックスを抜けたエージェントは痕跡を消せます。エージェントの権限でログの1行を削除または編集してみてください。できてしまうなら、そのマシンの外に書き込み先が必要です。そうでなければ、そのログを証拠として扱わないでください。
- **マシンの外へ出る経路はすべて検査点を通るか。**NVIDIAの設計は、モデルへの唯一の経路と外部への唯一の経路にBlueField-4を置きます。検査点を通らない経路、たとえば直接の接続や裏口のポートがないか、エージェントにインターネットへ直接接続させて確かめます。
3つの問いすべてに1行で書ける答えがあれば、自分の監視がエージェントに対してどこにあるかが分かります。「分からない」という問いが1つでもあるなら、分かるまでエージェントに権限を足さないでください。
参考資料
- NVIDIA Technical Blog, “Inside NVIDIA Sentry: Secure AI Agents at Runtime”（2026年10月21日） — DOCA Tower、DOCA Argus、Open Policy Agentのポリシー、BlueField-4上での封じ込め、改ざんの痕跡が残る記録、提供開始の予定についてのNVIDIAの説明。