AIに「自分で調べて、自分で作業して」と任せるとき、一番怖いのは何でしょうか。NVIDIAは、自律的に動くAIエージェントを安全に走らせるための実行基盤「OpenShell」を公開しました[2]。ポイントは、安全を「環境」側で確保する発想です。ソースコードはGitHubで公開されており[4]、Redditのr/LocalLLaMAでもすぐに取り上げられて話題になっています[1]。
OpenShellは、エージェントの群れを動かすための「安全でプライベートな実行環境」です[3]。エージェントとは、指示をもとにファイル操作やネットワーク通信を自分で行うAIのことです。便利な半面、何にでも触れる権限を持たせると事故のもとになります。守る対象は、データ、認証情報、そして基盤となるインフラです[3]。そこでOpenShellは、エージェントをサンドボックスと呼ぶ隔離環境の中で実行します[2]。サンドボックスは、本体のシステムから切り離した個室のようなものです。
設計の核は、セキュリティをモデルやアプリの中ではなく「環境」に置くという発想です[2]。初期状態では何も許可されておらず、ポリシーと呼ぶルールに従って、必要な権限だけが与えられます。重要なのは、この強制がエージェントのプロセスの外側で行われる点です。エージェントへの指示文を書き換えるような手口でも、防御はすり抜けられない位置にあるわけです[2]。許可も拒否も、すべて記録されて後から確認できます[2]。
具体的な動きを見てみましょう。各エージェントは独立したサンドボックスで動き、直接のネットワーク接続を持ちません。権限なしの状態で実行され、触れるファイルも制限されます[2]。エージェントがOSに出す処理の要求(システムコール)は、OSの核となる部分で検査されます。危険な要求はその場でブロックされ、承認が必要なものは監督役へ、1本の安全な経路で中継されます[2]。アーキテクチャの詳細も、ドキュメントとして公開されています[5]。
監督役のスーパーバイザは、サンドボックスの外で動くプログラムです。ネットワーク要求を「どのプログラムが、どこへ、どんな方法で、どのパスに」という単位で判定します[2]。認証情報は、ポリシーが許す場所にだけ渡されます。利用者の認証やサンドボックスの管理、そして「誰が何をできるか」の判定は、ゲートウェイという制御点が担います[2]。さらに「ポリシープローバ」という検証エンジンが備わっています[2]。形式検証とは、数学的な手法でルールの正しさを証明する方法です。この力で、ポリシーが許可範囲を超えていないかを確認します[2]。ポリシーの更新は動的に反映され、判定はすべてログに残ります[2]。
対応範囲も広いのが特徴です。クラウド、オンプレミス、エッジ、さらにネットワークから切り離された環境まで、同じポリシー層で管理できます[2]。使うモデルや、エージェントを実行するフレームワーク(ハーネス)が違っても、ルールは一つのまま保てます[2]。勝手なファイルアクセス、データの持ち出し、制御できない通信を、宣言的なルールで防ぐ狙いです[3]。フルスタックの構成には、Vera CPUやVera Rubinシステム、BlueField-4搭載のNVIDIA Sentryが名を連ねます[2]。効果を最大限に引き出すには、NVIDIA製ハードウェアとの組み合わせが狙いのようです。開発者ガイドによれば、インストールから最初のサンドボックス作成まで、2つのコマンドで済むとのことです[3]。
一方で、見過ごせない点が二つあります。一つは、この設計が前提とする現実です。エージェントをどれほど丁寧に作っても、指示の操作で防御をすり抜けられる可能性は残る、ということです。だからこそNVIDIAは、防御をエージェントの外側に置いたと説明しています[2]。もう一つは責任の所在です。開発者ガイドには、このソフトは「AS IS」、つまり現状のままで無保証だと明記されています[3]。取得した素材のライセンス遵守は、利用者自身の責任とされます[3]。
チャットで答えるAIから、自分で手を動かすAIへ。エージェントの推論が現実のファイルやネットワークに触れる時代になりました。信頼を支えるのは、モデルの賢さだけでなく環境側の仕組みだ、という考え方がOpenShellには表れています。オープンに公開されたことで、誰でもこの作り方を試せるようになりました。Redditのローカル実行コミュニティで話題になったのも[1]、うなずける展開です。エージェント実行の「安全の作り方」が、今後の標準を決める争点になっていくと思われます。
RECENT COMMENTS