NVIDIA、AIエージェントを安全に動かす「OpenShell（オープンシェル）リファレンスアーキテクチャ」を発表Vera（ベラ）CPUとBlueField-4上のSentry（セントリー）を組み合わせ、CoreWeave測定でサンドボックス起動は3倍超

NVIDIAは2026年10月21日（現地、GTC Berlin）、AIエージェントを安全に動かすための「OpenShell（オープンシェル）Reference Architecture」を発表した。エージェントが触れるファイル・ネットワーク・認証情報を、エージェントの外側にあるインフラで制限・監視する構成で、実行時の制限を担うオープンソースのOpenShell、エージェントを動かすVera（ベラ）CPU、監視と強制を担うBlueField-4上のSentry（セントリー）で成り立つ。NVIDIAのニュースリリースは「now available（提供中）」としている。技術ブログの公開時刻は協定世界時9時50分で、日本時間では同日18時50分にあたる。

3行まとめ

1. NVIDIAがOpenShell Reference Architectureを発表。OpenShell、Vera CPU、BlueField-4上のSentryを組み合わせ、エージェントの制限と監視をエージェントの外に置く（同社発表）
2. NVIDIAのブログによると、CoreWeaveの測定でVera CPUのサンドボックス起動はx86比3倍超、Terminal Benchでは1.8倍。1ラックで11,000超の環境を同時に動かせるとも説明
3. ニュースリリースは「now available」。ただしSentry単体の提供は技術ブログによると「来年初め」の予定

本記事の内容は、日本時間2026年10月21日18時台に公式ページで確認したものです。

何が発表されたのか

NVIDIAのニュースリリースによると、OpenShell Reference Architectureは「エージェントを作り、閉じ込め、観測し、強制する」ための構成で、企業のインフラとエッジ機器の両方を対象にする。構成要素は次の4つだ。

エッジ側では、NVIDIA RTX Spark、DGX Spark、DGX Stationに拡張できるとしている。対応OSとして、Canonical・SUSE・Red Hat系のLinux／Kubernetes、Microsoft Windows（Microsoft Execution Containers）を挙げ、Amazon Web Services、Google Cloud、Microsoft Azureのクラウド上でも動かせると書いている。

発表の根にある考え方は、技術ブログの次の一文に集約されている。

An agent cannot govern itself. Security and governance belong in the infrastructure the agent operates in.

（エージェントは自分自身を統制できない。セキュリティと統制は、エージェントが動くインフラの側にある。）

ニュースリリースでは、ジェンセン・フアンCEOが「agents can think on Rubin, act on Vera and be governed on BlueField」（エージェントはRubinで考え、Veraで動き、BlueFieldで統制される）と述べている。

OpenShellは何を制限するのか

技術ブログによると、OpenShellはエージェントの作業負荷を実行中ずっと「信頼しないもの」として扱い、必要なものに必要なときだけアクセスを与える。構成部品は4つある。

• Gateway: サンドボックスの寿命とポリシーを管理する制御面
• Supervisor: 外向きのリクエストをポリシーに照らして確認し、認証情報へのアクセスを仲介する。サンドボックスとは完全に別に動く
• Sandbox: エージェントの作業負荷を隔離し、ファイルとプロセスへのアクセスを制限する
• Policy prover: 形式検証で、ポリシーの許可がその組織の定めた上限の内側に収まっているかを調べる

GitHubのREADMEは、OpenShellを「safe, private runtime for fleets of autonomous AI agents」と説明している。カーネルの仕組みでファイルアクセス、システムコール、ネットワーク接続を実行時に制限し、ネットワーク接続は外へ出る前にポリシー確認を通る。READMEによれば、エージェントは本物の認証情報を見ず、承認済みの接続先に向かうリクエストにだけOpenShellが認証情報を付ける。ポリシーを変えるときは、形式検証で「新しいホストに認証情報つきで到達する」といった新たなアクセスを洗い出し、そうした変更は人間のレビュー待ちになる。

拡張の入口もある。技術ブログは、Supervisorのミドルウェアでエージェントがネットワークで送受信する内容を検査・遮断・変更でき、Gatewayのインターセプターで制御面の操作に運用者独自の統制を足せると書いている。

Sentryは何を足すのか

OpenShellがソフトウェアの境界なら、Sentryはその外側にある「独立した監視役」という位置づけだ。NVIDIAの技術ブログ（Inside NVIDIA Sentry）によると、SentryはNVIDIA DOCA上に作られ、BlueField-4 DPUで動く。BlueField-4はVera上のエージェントとモデルの間、つまり「ノードがモデルに到達する唯一の経路」に置かれる。

Sentryの主な働きは、同ブログでは次のように説明されている。

• 通信の検査: DOCA Tower（Envoyベースの透過プロキシ）がエージェントの通信を双方向で検査する。レイヤー4のファイアウォールはDOCA Flowで、BlueField-4上でシリコン処理される。判定にはOPA（Open Policy Agent）を使い、条件によっては1ミリ秒未満で評価できるという
• 実行環境の可視化: DOCA Argusがホストのメモリを、ホスト側にエージェントを入れずに調べ、コンテナやプロセスの状態を把握する
• 隔離: 違反を検知すると、エージェントやホストの協力なしに、ミリ秒単位でBlueField-4のシリコンで隔離できる
• 記録: 改ざんの痕跡が残る記録をBlueField-4側に保持する。エージェントが自分の環境のログを書き換えても、BlueField-4側の記録は変えられないとNVIDIAは説明している

検知の例としてブログが挙げるのは、未承認ツールの実行、ptraceによる他プロセスへの攻撃、データ流出を疑わせる大量の外向き通信、無許可のファイル変更、大規模なファイル削除などだ。ニュースリリースは、SentryがBlueField-4上で「エージェントの収容数を最大20%増やす」とも書いている。この数字の測定条件は、今回確認したページには載っていなかった。

Vera CPUの数字はどこまでが測定か

技術ブログによると、Veraは88個のNVIDIA設計Olympusコアを持ち、LPDDR5Xのメモリ帯域は最大1.2 TB/s、PCIe Gen 6は96レーン。NVIDIAは、エージェントの重要な処理でx86比最大2倍の性能、ワットあたり性能も2倍としている。

読者がいちばん気にするのは、この数字のうち第三者の測定がどれかだろう。ブログの記述はこうだ。

CoreWeaveは2026年9月30日付の自社発表で、Vera CPUを提供すると表明している。そこには「CoreWeave achieved more than 3x faster agent sandbox startup times on NVIDIA Vera CPU compared to an x86 CPU」（CoreWeaveはx86 CPU比で3倍超高速なサンドボックス起動を確認した）という記述がある。比較対象の「x86 CPU」の型番は、今回確認したどのページにも書かれていなかった。技術ブログの図の見出しは「a leading x86 CPU」（有力なx86 CPU）と20個の実タスクを挙げるだけだ。したがって「3倍超」は、CoreWeaveが選んだ条件での結果として読む必要がある。

誰が関わっているのか

ニュースリリースは、Anthropic、AWS、Cisco、CrowdStrike、Google Cloud、Meta、Microsoft、OpenAI、Palo Alto Networks、SAPなどが「OpenShell Reference Architectureに取り組んでいる」と書く。内訳はおおよそ次のとおり（いずれもNVIDIAの記述）。

• モデル提供者: Anthropic、Cohere、Google、Meta、OpenAI、Perplexity、Reflection、SpaceX Super Intelligenceのエージェントを、OpenShellのインフラ上で動かせる
• セキュリティ企業: 1Password、Check Point、CrowdStrike、Cisco、F5、Fortinet、Microsoft、Okta、Palo Alto Networks、TrendAI、Zscalerが、自社のエージェント向けセキュリティ製品にこの構成への対応を組み込んでいる
• 銀行: 欧州のBBVAとSantanderが、エージェントの安全・統制の枠組みとして試している
• 機器メーカー: Dell Technologies、Cisco、HPE、Lenovo、Supermicro
• クラウド事業者: CoreWeave、Crusoe、Lambda、Nebius、Oracle Cloud Infrastructure、Vultrなど

具体的な製品化の例もある。ServiceNowは同日、個人向けの長時間稼働エージェント「ServiceNow Arc」の一般提供開始を発表し、その動作をNVIDIA OpenShellで強制すると、NVIDIAのリリースは書いている。SAPはOpenShell Reference ArchitectureをJoule Studioのランタイムに統合中だという。

ニュースリリースは「working with」「integrating」「explore」「building」と社のグループごとに動詞を使い分けているが、本番稼働か検証段階かまでは多くの社について書いていない。本番での利用に触れているのは、一般提供を始めたServiceNow Arcと、「顧客と本番導入を進めている」とされたPalantirだ。

自分で試せるのはどこまでか

OpenShell本体はGitHubで公開されていて、Apache License 2.0。READMEのクイックスタートでは、Linux、Apple SiliconのmacOS、またはWSL 2経由のWindows（experimental）と、Docker、Podman、ホスト仮想化のいずれかが必要とされている。インストールは install.sh を流し、openshell sandbox create でサンドボックスを作る流れだ。Python、TypeScript、Go、RustのSDKも用意されている。

一方、Vera CPUとBlueField-4を使った全体構成は、サーバー機器とクラウド事業者経由の話になる。企業向けには「Secure Agent Workspace Reference Design」というドキュメントが公開されていて、Red Hat OpenShift VirtualizationとMicrosoft Azureでの参照実装の章立てがある。

筆者が公式ページで確認したこと

日本時間18時52分〜53分に各ページを取得した時点で、確認できたことと、できなかったことがある。

• GitHubのOpenShellリポジトリは、スターが16.9k、フォークが1.8k、コミット数が1,829だった。READMEの冒頭には「New in OpenShell 0.1.x」とあり、0.1.0のアップグレードガイドへの案内が出ていた。つまり、発表と同時に生まれたものではなく、すでに外部の開発者が追っている実装の上に参照設計が乗った形に見える（この「見える」は筆者の読みで、NVIDIAの説明ではない）
• Secure Agent Workspace Reference Designのページは、取得した本文が目次の見出しだけで、「Threat Model — What If the In-VM OS Is Compromised?」や「Phase I／Phase II」といった章題は読めたが、中身の記述までは取れなかった。この記事では、このドキュメントから中身の主張を引いていない
• 筆者はOpenShellやSentryを自分で動かしていない。本記事で紹介した数字や挙動はすべて、各社の公式ページに書かれた内容の紹介だ

確認できていないこと

今回取得した6つの公式ページ（ニュースリリース、技術ブログ2本、GitHub、ドキュメント、CoreWeave発表）を Grep で確かめた範囲では、次の点が分かっていない。

• 料金: 参照アーキテクチャ全体、Vera CPU搭載サーバー、BlueField-4の価格はいずれのページにも見当たらなかった（CoreWeaveのページにあった「Pricing」はナビゲーションのリンク名だけ）
• 日本での提供: 「Japan」を含む記述は、取得した6ページのどこにもなかった。日本の提携先や日本向けの提供時期は、今回の発表からは分からない
• Sentryの提供時期: ニュースリリースは参照アーキテクチャが「now available」とする一方、Sentryの技術ブログは提供開始を「planned availability early next year」（来年初めの予定）と書く。両者は別の対象についての記述にも読めるが、どの部品が今日から使えて、どの部品が来年なのかを一覧にした表は、今回の取得ページにはなかった
• 「20%」の条件: Sentryがエージェント収容数を最大20%増やすという数字の測定条件
• 比較対象のx86: 2倍・3倍・1.8倍の比較に使われたx86 CPUの型番や設定

ニュースリリースには、将来予想に関する通常の免責（機能は「when-and-if-available」で提供され、時期は変わりうる）も付いている。

関連記事

同じGTC Berlinでの発表として、Vera Rubinの設備を工場組み立てのコンテナで届ける「DSX POD」はNVIDIA、DSX PODを発表で、冷却水と電力効率の設計はNVIDIA、DSXで欧州のAIファクトリーの冷却水をほぼゼロにできる設計で扱っている。

出典と確認時刻

日本時間2026年10月21日18時52分〜18時53分に、以下のページを取得して確認した。

• How NVIDIA OpenShell Reference Architecture Secures and Governs AI Agent Workloads at Scale（NVIDIA Technical Blog）
• NVIDIA Launches OpenShell Reference Architecture for Safe AI Agents（NVIDIA Newsroom）
• Inside NVIDIA Sentry: Secure AI Agents at Runtime（NVIDIA Technical Blog）
• NVIDIA/OpenShell（GitHub）
• Secure Agent Workspace Reference Design（NVIDIA Docs）
• CoreWeave to Offer NVIDIA Vera, the First CPU Built for AI agents（CoreWeave）

本記事は続報があり次第更新します。