NVIDIA Releases OpenShell Reference Architecture, Governing Agent Security with a Three-Layer Approach
English text is being prepared.
NVIDIA has released the OpenShell reference architecture, arguing that Agents cannot govern themselves and that security and governance should be placed at the infrastructure layer, which Agents cannot reach. The approach has three layers: the open-source runtime OpenShell defines permission boundaries through Gateway, Supervisor, Sandbox, and a formally verified Policy Prover; Vera CPU provides 88 Olympus cores and 1.2 TB/s memory bandwidth, with CoreWeave measuring sandbox startup more than 3x faster and Agent tasks on Terminal Bench 1.8x faster; BlueField-4 DPU plus Sentry provides optional hardware-level monitoring that can isolate violating Agents within a few milliseconds.
Why read this
AI score 70
The original article breaks Agent security governance into three layers—software sandbox, CPU, and DPU—and provides formal verification and measured figures, making it easier to judge the feasible boundaries of infrastructure-layer protection.
Topics
Body
NVIDIA OpenShell 参考架构：把 Agent 的安全治理交给基础设施，从软件沙箱一路做到芯片级隔离
长时间运行的 Agent 会自己下载代码、搭建工具、申请更多权限，并且执行路径是边推理边决定的，风险会不断累积。基于此 NVIDIA 的核心主张是 "Agent 管不了自己"，安全和治理必须放在 Agent 碰不到的基础设施里。NVIDIA 为此给出一套三层方案：开源运行时 OpenShell 负责软件层面的权限边界，Vera CPU 负责高并发的 Agent 执行，BlueField-4 DPU 加上 Sentry 提供可选的硬件级监控和隔离。 https://t.co/3onRr3hjN2
第一层：OpenShell（开源运行时，确定性治理） 它把 Agent 的工作负载全程当作不可信对象，只在需要时给予所需的权限。包含四个组件： · Gateway：控制平面，管理沙箱的生命周期和策略。 · Supervisor：独立于沙箱运行，按策略检查所有出站请求，并代为管理凭据。 · Sandbox：隔离工作负载，限制文件系统和进程访问。 · Policy Prover：用形式化验证证明某条策略的权限不会超出组织设定的上限。这是最有特点的一点。
扩展方式有两种：Supervisor 中间件可以检查、拦截或改写网络内容；Gateway 拦截器可以接入身份、授权、数据保护、审计等企业现有系统。
第二层：Vera CPU（Agent 循环的算力底座） Agent 的循环（推理、调用工具、执行代码）是一步接一步串行完成的，所以既需要很多核来跑大量并发，又需要每个核足够快。厂商给出的数据：88 个 Olympus 核心，关键 Agent 负载性能最高是 x86 的 2 倍；内存带宽 1.2 TB/s；每瓦性能是 x86 的 2 倍。CoreWeave 实测沙箱启动快 3 倍以上，Terminal Bench 上的 Agent 任务快 1.8 倍，单机柜可以同时运行超过 1.1 万个 Agent 环境。
第三层：BlueField-4 + Sentry（可选的硬件防线） DPU 位于 Agent 和模型之间的 I/O 路径上，形成一个独立的硬件信任域。Sentry 在这个域里监控请求和响应、网络和文件活动，核验身份和授权，并分析主机内存，不依赖 Agent 自己汇报。一旦发现违规，会在芯片层面执行策略，在几毫秒内把 Agent 隔离起来。