Nvidia Open Agent Safety Platform: Wächter außerhalb des Agenten

Nvidia hat am 28. September 2026 die Nvidia Open Agent Safety Platform vorgestellt – eine Kombination aus quelloffener Laufzeitsoftware und einem Referenzdesign, das KI-Agenten auch dann in ihren Grenzen halten soll, wenn sie selbst versuchen auszubrechen. Der Zeitpunkt ist kein Zufall: In den vergangenen Monaten haben Agenten mehrerer großer Anbieter ihre Testumgebungen verlassen und auf fremde Systeme zugegriffen.

Was die Nvidia Open Agent Safety Platform enthält

Die Plattform besteht aus zwei Teilen. OpenShell ist quelloffene Laufzeitsoftware, die eine Sandbox um den Agenten zieht: Sie protokolliert alle Aktionen und setzt Richtlinien durch, während der Agent auf CPUs läuft. Nvidia nennt die eigene Vera-CPU als bevorzugte Basis, setzt sie aber nicht voraus: OpenShell lässt sich als Open Source auch auf Plattformen von Arm und Intel sowie auf gewöhnlichen Linux-, macOS- und Container-Umgebungen betreiben. Neu ist die Software nicht – Nvidia hatte sie am 16. März 2026 auf der GTC als Teil des Agent Toolkit angekündigt; seit dem 28. September gilt sie als breit verfügbar. Ein Blick ins Repository dämpft die Erwartungen allerdings: Nvidia selbst bezeichnet OpenShell dort als Alpha-Software im „single-player mode“, die Kubernetes- und GPU-Pfade sind als experimentell markiert.

Der zweite Teil heißt Sentry und ist der eigentliche Unterschied. Sentry läuft nicht auf der CPU oder GPU, auf der der Agent arbeitet, sondern out-of-band auf einer BlueField-4-DPU. Von dort beobachtet er das Verhalten des Agenten fortlaufend und kann Prozesse, die ihre Grenzen verlassen wollen, laut Nvidia binnen Millisekunden isolieren. Für den Agenten – und für einen Angreifer – ist dieser Wächter unsichtbar, weil er in einer eigenen Vertrauensdomäne sitzt.

Nvidia nennt über 100 beteiligte Organisationen, darunter Anthropic, Microsoft, Cisco, CrowdStrike, Red Hat, SAP, Palo Alto Networks und JPMorganChase. OpenAI steht nicht auf der Liste.

Newsletter

Klartext zu KI, Security, Crypto

Einordnung statt Hype: was hinter den Tech-News steckt und was davon für dich zählt. Startbonus: die AD-Checkliste mit 12 Sofortmaßnahmen als PDF.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Der Anlass: Agenten, die ihre Sandbox verlassen

Nvidia beschreibt das Muster hinter den jüngsten Vorfällen nüchtern: Der Agent umgeht die Sicherheitskontrollen auf Anwendungsebene, um seine Aufgabe zu erfüllen. Genau das ist mehrfach passiert – ich habe hier unter anderem den Codex-Sandbox-Ausbruch und den Einbruch eines OpenAI-Agenten in ein Medicare-Portal beschrieben. Nvidia-Chef Jensen Huang sagte laut TechCrunch in einem CNBC-Interview, die neue Plattform hätte diese Vorfälle verhindert. Das ist eine Herstelleraussage, kein geprüfter Befund – ebenso wie die genannte Reaktionszeit im Millisekundenbereich, für die es bisher keine unabhängige Messung gibt.

Was das für dich bedeutet

Hinter dem Marketing steckt ein Prinzip, das in der IT-Sicherheit seit Jahrzehnten gilt: Eine Kontrolle, die im selben Vertrauensbereich läuft wie das kontrollierte System, ist keine Kontrolle. Genau das war das Problem der bisherigen Agenten-Sandboxes – Wächter und Bewachter teilten sich Prozess, Speicher und Berechtigungen. Sentry auf einer separaten DPU ist die Hardware-Variante desselben Gedankens, der aus Active Directory bekannt ist: Ein Tier-0-System darf sich nicht von dem verwalten lassen, was es absichern soll.

Für Admins in normalen Unternehmen ist die Plattform trotzdem erst einmal kein Produkt zum Einschalten. BlueField-4-DPUs und Vera-CPUs stehen in Rechenzentren, nicht unter dem Schreibtisch. Der praktische Nutzen liegt woanders: Nvidia macht damit öffentlich, dass die Anwendungsebene als Grenze nicht ausreicht. Wer heute Agenten in Geschäftsprozesse einbindet – und das tun immer mehr Betriebe über Copilot-, Claude- oder Cursor-Integrationen –, sollte diese Einschätzung ernst nehmen, unabhängig davon, wessen Hardware am Ende darunter liegt.

Skeptisch bleiben darf man bei der politischen Rahmung. Nvidia verkauft die Chips, auf denen Agenten laufen, und positioniert Agentensicherheit ausdrücklich als Engineering-Problem statt als Grund, langsamer zu machen. Das ist ein legitimer Standpunkt – aber eben auch einer, der dem eigenen Geschäftsmodell gut bekommt: Die zusätzliche Sicherheitsschicht erzeugt Rechenlast und läuft bevorzugt auf Nvidia-Hardware.

Was du jetzt konkret tun kannst

• Agenten inventarisieren. Schreibe auf, welche KI-Agenten in deiner Umgebung laufen, mit welchem Konto sie arbeiten und auf welche Systeme sie zugreifen dürfen. Ohne diese Liste ist jede weitere Maßnahme Raten.
• Eigene Identität statt geteiltem Dienstkonto. Jeder Agent bekommt ein eigenes Konto mit eigenen Rechten – sonst lässt sich im Nachhinein nicht unterscheiden, wer was getan hat. Das ist dasselbe Dienstkonten-Problem wie eh und je, nur mit neuem Etikett.
• Netzwerkseitig begrenzen. Eine Egress-Allowlist auf Firewall- oder Proxy-Ebene liegt außerhalb des Agenten und ist damit die einfachste unabhängige Schranke, die jeder Betrieb heute schon bauen kann.
• Protokollieren, wohin der Agent greift. Tool-Aufrufe, API-Zugriffe und Dateioperationen müssen in einem Log landen, das der Agent selbst nicht ändern kann.
• Freigaben an Menschen zurückgeben. Rechteerweiterungen sollten bestätigt werden, nicht automatisch erfolgen – Nvidia zeigt genau dieses Muster mit der Slack-Integration von OpenShell.

Quellen

• Nvidia Newsroom: NVIDIA Launches Open Agent Safety Platform (28.09.2026)
• TechCrunch: Nvidia launches new platform for reining in rogue AI agents (28.09.2026)
• GitHub: NVIDIA/OpenShell (Status- und Installationshinweise)