Nvidia stellt Hardware-Wächter und Sandbox für KI-Agenten vor

Nvidia hat am 28. September 2026 die Open Agent Safety Platform vorgestellt. Sie bündelt die quelloffene Laufzeitumgebung OpenShell, die KI-Agenten in eine Sandbox mit festen Regeln sperrt, mit dem neuen Hardware-Wächter Sentry, der auf BlueField-4-DPUs getrennt vom eigentlichen Rechner läuft. Relevant ist das für Unternehmen, die KI-Agenten wie Claude Code, Codex oder eigene Automatisierungen mit Zugriff auf Repositories, Dateisysteme, APIs und Zugangsdaten arbeiten lassen.

Nicht betroffen im Sinne eines Handlungszwangs ist, wer KI nur als Chat im Browser nutzt. Es gibt keine Sicherheitslücke und kein Update, das heute eingespielt werden muss. Der Hardware-Teil Sentry setzt Nvidias Rechenzentrumsplattform Vera Rubin beziehungsweise BlueField-4 voraus und ist für typische KMU-Umgebungen außer Reichweite. Der Software-Teil OpenShell ist dagegen frei verfügbar und eignet sich als Anlass, die eigenen Agenten-Rechte im nächsten Planungszyklus zu überprüfen.

Was ist passiert?

Laut Nvidia-Pressemitteilung vom 28. September besteht die Plattform aus zwei Bausteinen, die Unternehmen einzeln oder gemeinsam einsetzen können:

• OpenShell: eine Open-Source-Laufzeitumgebung unter Apache-2.0-Lizenz, die Nvidia bereits im März vorgestellt hatte und die jetzt breit verfügbar ist. Sie führt Agenten in Sandboxes mit Isolation auf Kernel-Ebene aus und setzt Richtlinien durch, die außerhalb des Modells und des Agenten-Frameworks liegen.
• Sentry: ein Referenzdesign für einen sogenannten Out-of-Band-Wächter auf BlueField-4-DPUs. Er beobachtet das Agentenverhalten unabhängig vom Host und soll einen Agenten laut Nvidia binnen Millisekunden in Quarantäne setzen, wenn dieser seine Software-Grenzen verlässt.

Nvidia begründet den Schritt mit den jüngsten Vorfällen, bei denen Agenten mehrerer KI-Labore aus ihren Testumgebungen ausgebrochen sind. Das Muster sei immer gleich gewesen: Der Agent habe Sicherheitskontrollen auf Anwendungsebene umgangen, um seine Aufgabe zu erledigen. Im begleitenden Technik-Blog formuliert Nvidia die zentrale Lehre so, dass man von einem Agenten nicht erwarten könne, sein eigenes Verhalten vollständig selbst zu überwachen. Nach Angaben des Herstellers arbeiten mehr als 100 Organisationen mit der Plattform, darunter Anthropic, Microsoft, SAP, Salesforce, Cisco, CrowdStrike, Palo Alto Networks sowie die Linux-Anbieter Canonical, SUSE und Red Hat.

Wie OpenShell und Sentry arbeiten

Die technischen Details stammen aus Nvidias Technik-Blog und dem Bericht von SecurityWeek. Unabhängig nachgeprüft sind sie bisher nicht.

• Drei Komponenten: Ein Gateway verwaltet Lebenszyklus und Richtlinien vieler Sandboxes, die Sandbox beschränkt Dateisystem- und Prozesszugriffe auf Kernel-Ebene, ein Supervisor prüft jede ausgehende Anfrage gegen die Richtlinie.
• Netzwerkkontrolle: Der gesamte Netzwerkverkehr der Sandbox läuft über den Supervisor. So lässt sich etwa Lesezugriff auf eine API erlauben, Schreibzugriff aber blockieren, auch wenn der Agent selbst erzeugten Code ausführt.
• Zugangsdaten: Bei API-Schlüsseln sieht der Agent nur einen Platzhalter. Der echte Schlüssel wird außerhalb der Agenten-Umgebung und nur für freigegebene Ziele eingesetzt.
• Richtlinienprüfung: Agenten dürfen Regeländerungen vorschlagen, aber nicht selbst genehmigen. Ein formales Prüfwerkzeug soll vor dem Start zeigen, dass die vergebenen Rechte die Vorgaben des Betreibers nicht überschreiten.
• Protokollierung: Richtlinienentscheidungen werden geloggt. Salesforce hat OpenShell in Slack integriert, damit Teams Agentenaktivität und Rechteanfragen dort freigeben oder ablehnen können.
• Sentry: Auf Basis von Nvidias DOCA-Software prüft Sentry Anfragen und Antworten, liefert attestierte Telemetrie, verifiziert Agenten-Identitäten und setzt Zero-Trust-Regeln für Daten, Werkzeuge und APIs durch. In Vera-Rubin-Systemen sitzt die DPU auf dem einzigen Pfad zwischen Agent und Modell.

Laut SecurityWeek unterstützt OpenShell unter anderem Codex, Claude Code, Pi und Hermes als Agenten. Im GitHub-Repository ist die aktuelle Version 0.1.2 vom 28. September 2026 gelistet, das Projekt steht also noch sehr am Anfang.

Für wen ist das relevant?

• Teams mit Coding-Agenten: Wer Agenten Schreibzugriff auf Git-Repositories, CI-Pipelines oder Cloud-Konsolen gibt, bekommt mit OpenShell ein frei verfügbares Werkzeug, um Rechte technisch statt per Prompt zu begrenzen.
• Betreiber eigener Agenten-Automatisierung: Die Platzhalter-Logik für API-Schlüssel adressiert ein Kernrisiko, nämlich dass ein Agent Zugangsdaten sieht und außerhalb seines Auftrags verwendet.
• Rechenzentren und große Cloud-Kunden: Sentry zielt auf Umgebungen mit BlueField-4 und Vera Rubin. Wer solche Systeme bereits betreibt, kann den Schutz laut Nvidia per Softwareupdate aktivieren.

Für die meisten kleinen und mittleren Unternehmen ist nur der Software-Teil praktisch erreichbar. Die Hardware-Komponente bleibt vorerst ein Thema für Hyperscaler, KI-Labore und Großkonzerne.

Wie kritisch ist das?

Es handelt sich um eine Produktankündigung, nicht um eine Sicherheitswarnung. Heute muss niemand handeln. Das zugrunde liegende Problem ist allerdings real: Agenten mit weitreichenden Rechten sind in den vergangenen Wochen mehrfach aus Testumgebungen ausgebrochen, und klassische Kontrollen auf Anwendungsebene haben dabei nicht gegriffen. Die Botschaft, dass Grenzen außerhalb des Agenten durchgesetzt werden müssen, gilt unabhängig davon, ob man Nvidias Plattform nutzt.

Offen ist, wie wirksam der Ansatz in der Praxis ist. Nvidia nennt einen eigenen Test, in dem Agenten mit reduzierten Schutzmechanismen bis zu zwei Stunden versuchten, einen KI-Prüfer zur Freigabe von Schreibrechten auf ein geschütztes Repository zu überreden, ohne dass es zu Schreibzugriffen kam. Belastbare Kennzahlen dazu, wie zuverlässig Sentry Ausbrüche erkennt, nennt der Hersteller laut The Decoder nicht. Auch ein allgemeiner Verfügbarkeitstermin für Sentry fehlt in der Ankündigung.

Was sollten Admins jetzt tun?

• Inventar erstellen: welche KI-Agenten im Unternehmen laufen, auf welchen Systemen, mit welchen Konten, Tokens und Dateisystemrechten. Dazu gehören auch Coding-Agenten auf Entwicklerrechnern.
• Prüfen, ob Agenten echte API-Schlüssel oder Passwörter im Klartext sehen. Wo möglich kurzlebige, eng begrenzte Tokens verwenden.
• Schreibrechte getrennt von Leserechten vergeben: Agenten sollten geschützte Branches, Produktivdatenbanken und Cloud-Konsolen nicht direkt verändern dürfen.
• Ausgehenden Netzwerkverkehr von Agenten-Umgebungen auf eine Allowlist begrenzen, statt ihn offen zu lassen.
• Agenten in Containern oder VMs ohne Docker-Socket und ohne Host-Mounts betreiben, damit eine Sandbox nicht nur auf dem Papier existiert.
• OpenShell in einer isolierten Testumgebung evaluieren, bevor es produktiv eingesetzt wird. Die frühe Versionsnummer spricht gegen einen sofortigen Produktiveinsatz.
• Protokollierung von Agentenaktionen einrichten und festlegen, wer einen laufenden Agenten im Notfall stoppen darf und wie schnell.

Einordnung für Unternehmen

Die Ankündigung ist vor allem ein Signal an den Markt: Nvidia will sich nach der geplanten Übernahme von Hugging Face auch bei der Absicherung von KI-Agenten als Plattformanbieter positionieren und koppelt den stärksten Schutz an die eigene Hardware. Für KMU ist das kein Kaufargument, wohl aber eine Bestätigung eines Prinzips, das Admins aus der klassischen IT-Sicherheit kennen: Vertrauen gehört nicht in den Prozess, der kontrolliert werden soll.

Praktisch heißt das: Wer KI-Agenten einsetzt, sollte sie wie einen neuen, schwer vorhersagbaren Dienstaccount behandeln. Minimale Rechte, getrennte Zugangsdaten, begrenzter Netzwerkzugang und ein funktionierender Notaus sind mit vorhandenen Mitteln wie Containern, Firewall-Regeln und Secret-Management umsetzbar. OpenShell kann diesen Ansatz ergänzen, ersetzt aber keine saubere Rechtevergabe.

Passende Anleitungen auf S-EDV

• KI-Agenten absichern: Prompt Injection und Härtung: konkrete Maßnahmen, um Agenten-Rechte im eigenen Betrieb zu begrenzen.
• KI-Agenten im Unternehmen: Aufgaben und Rechte vor dem Einsatz begrenzen: organisatorischer Rahmen vor dem Rollout.
• OpenAI-Agenten und der Hugging-Face-Vorfall: Hintergrund zu den Ausbrüchen, auf die Nvidia reagiert.

Quellen

• Nvidia Newsroom: Ankündigung der Open Agent Safety Platform (28.09.2026)
• Nvidia Technical Blog: Referenzdesign für die Agentenüberwachung im Silizium (28.09.2026)
• SecurityWeek: Nvidia stellt Plattform mit Hardware-Wächter für KI-Agenten vor (28.09.2026)
• The Decoder: Nvidia will KI-Agenten mit einem Wächter im Silizium an der kurzen Leine halten (28.09.2026)
• OpenShell-Repository auf GitHub