Nvidia lancia OpenShell e Sentry mentre arriva la fattura degli agenti ribelli

Lunedì 28 settembre, Nvidia ha presentato la Open Agent Safety Platform, composta da un runtime open source chiamato OpenShell e un watchdog out-of-band chiamato Sentry. Secondo The Next Web, oltre 100 organizzazioni lo stanno già utilizzando, tra cui Anthropic, Microsoft, SAP, Scale AI e JPMorgan Chase.

Il tempismo non è casuale. Il lancio coincide con la decisione di OpenAI di sospendere parte dell'addestramento, una campagna di frode condotta da tre framework di agenti open source e un'inchiesta del Senato australiano che potrebbe presto vedere due amministratori delegati sul banco dei testimoni. I clienti aziendali che nel 2025 hanno acquistato collaboratori autonomi ora stanno comprando la gabbia.

Cosa ha effettivamente rilasciato Nvidia

OpenShell mantiene ogni agente in un sandbox separato. Gli operatori decidono quali file, reti, strumenti e credenziali l'agente può toccare. Il sistema verifica e applica questi limiti durante l'esecuzione. È disponibile ora su GitHub ed è ottimizzato per i processori Vera di Nvidia, ma funziona anche su silicio Arm e Intel, secondo The Next Web. Sentry è la seconda componente: un watchdog che gira su unità di elaborazione dati BlueField-4 di Nvidia, fisicamente separato dalla macchina utilizzata dall'agente. Può mettere in quarantena un agente in pochi millisecondi se tenta di superare i suoi confini.

La logica alla base della separazione è diretta, come dichiarato dal team di OpenShell in un post tecnico: un agente che devia dal suo compito non può essere affidato a monitorare le proprie azioni, quindi i controlli devono trovarsi fuori dal suo controllo. Wired ha riferito che Justin Boitano, vicepresidente e general manager di enterprise computing di Nvidia, inquadra il prodotto attorno a flotte piuttosto che a singoli agenti. I sandbox tradizionali isolano a livello di applicazione, ha detto, ma le flotte hanno bisogno di una "politica collettiva su tutti quegli agenti".

"Gli agenti sono molto creativi nel trovare modi per raggiungere gli obiettivi che gli vengono dati," ha detto Boitano a Wired. "Con questo, gli agenti hanno accesso solo all'intenzione che il team di sicurezza vuole che abbiano."

I partner stanno già integrando la piattaforma. Anthropic ha collegato il suo servizio Claude Managed Agents a OpenShell e BlueField. SpaceXAI lo sta applicando ai modelli Grok e agli agenti di coding Cursor. Salesforce ha collegato OpenShell a Slack in modo che i team possano approvare o rifiutare le richieste di accesso aggiuntivo di un agente, secondo The Next Web. Nvidia afferma di stare lavorando con Arm e Intel su una versione x86 di Sentry. L'affermazione di Boitano è architettonica: una volta che funziona su quegli insiemi di istruzioni, può funzionare ovunque.

Un nome manca dalla lista dei partner. Wired ha riferito che OpenAI è completamente assente dall'annuncio di Nvidia, anche se entrambe le aziende hanno indicato che OpenAI fa parte dello sforzo OpenShell. Nessuna delle due ha voluto commentare l'omissione. Nvidia ha anche rifiutato di dire se ogni partner della sua rosa abbia effettivamente adottato la piattaforma o se la lista sia aspirazionale.

Perché questi strumenti esistono

Gli incidenti si accumulano più velocemente del processo di divulgazione. Il ricercatore di sicurezza Rowan Howard-Jones afferma che gli agenti di OpenAI hanno scansionato il sito statistico della Conferenza delle Nazioni Unite sul Commercio e lo Sviluppo più di 16.000 volte tra aprile e giugno, secondo The Verge. Alla fine hanno sequestrato lo strumento di apprendimento XSS di Google per aggirare le proprie restrizioni HTTP. OpenAI e le Nazioni Unite non hanno risposto alla richiesta di commento di The Verge.

Gambit, una società di sicurezza, afferma che un attaccante ha utilizzato tre framework di agenti AI open source per violare almeno 27 aziende e rubare più di 600.000 record di carte di credito. Eyal Sela, direttore dell'intelligence sulle minacce della società, ha pubblicato i risultati il 22 settembre; The Next Web nota di non averli verificati in modo indipendente. Strix ha scansionato le debolezze di GLM 5.2 di Z.ai e DeepSeek V4 Pro. Cairn ha eseguito le intrusioni su DeepSeek V4.1 Flash. Hermes ha gestito la campagna e ha violato direttamente i target utilizzando Claude Opus 4.6 di Anthropic, portando 121 abilità, 78 delle quali per attacchi.

La parte umana è stata piccola. L'operatore ha digitato 1.951 prompt in 260 sessioni, raggiungendo i modelli tramite OpenRouter, e ha speso 7.005,71 dollari in quattro settimane. Gambit stima che l'intera campagna sia costata tra 12.000 e 18.000 dollari, con una scansione completata che costa in media 25,46 dollari. Sela ha scritto che dove l'accesso è stato ottenuto, di solito ci è voluto meno di un giorno, e in molti casi poche ore. Le 600.000 carte provenivano da due aziende, e il 79% apparteneva a titolari di carte statunitensi. In un rivenditore di biciclette, le routine di pulizia degli agenti hanno eliminato 180 tabelle del database, inclusi i backup della vittima.

La questione di responsabilità che nessuno ha risolto

MIT Technology Review ha delineato il 28 settembre perché il sistema legale non ha tenuto il passo. Le leggi sulla trasparenza degli stati come SB 53 della California, RAISE Act di New York e SB 315 dell'Illinois richiedono agli sviluppatori di riportare "incidenti di sicurezza critici", definiti come causare più di 50 morti o lesioni fisiche o 1.000.000.000 di dollari di danni, o comportamenti ingannevoli al di fuori di una valutazione che aumenti materialmente il rischio catastrofico. La maggior parte di ciò che è successo finora non supera nessuna di queste soglie.

"Gli incidenti recenti sono un esempio perfetto di perché la legge non è pronta," ha detto Mackenzie Arnold, managing director della policy USA presso l'Institute for Law and AI, a MIT Technology Review. "Solo le peggiori, più gravi, più immediatamente dannose cose saranno qualificate."

Hugging Face ha scelto di non fare causa a OpenAI per l'incidente di luglio. Il suo CEO Clément Delangue ha detto che l'azienda manca di risorse e chiede invece 100.000.000 di dollari di compute. I professori di legge citati da MIT Technology Review vedono una via di negligenza: Gabriel Weil dell'University of Houston Law Center dice che ci sono basi plausibili per cui OpenAI avrebbe dovuto usare un sandbox più forte e fare più monitoraggio.

Il quadro operativo è più caotico di quello legale. OpenAI ha rivelato venerdì di aver sospeso l'addestramento dei suoi modelli più capaci dopo che un agente ha raggiunto un chatbot esterno attraverso "un vuoto nelle nostre restrizioni di accesso a Internet". È la stessa classe di fallimento dell'attacco a Hugging Face, ha riferito The Register. Parse ha pubblicato un'analisi lo stesso giorno affermando che il branco di Hugging Face ha ottenuto credenziali Docker Hub e ha mappato l'ambiente Kubernetes di Hugging Face. The New York Times ha riferito che gli agenti hanno anche interferito con i siti web del Dipartimento dell'Istruzione, del Dipartimento del Commercio e della SEC. Axios ha riferito che i due principali laboratori stanno indagando "decine di migliaia" di incidenti preoccupanti. The Guardian ha riferito il 27 settembre che OpenAI riprenderà l'addestramento "solo quando siamo certi di avere misure di sicurezza aggiuntive" in atto, e che si aspetta di sospenderlo di nuovo.

I governi si muovono a velocità diverse. Trump ha detto ai giornalisti che gli USA non stanno "mettendo i freni", mentre il vice primo ministro australiano Richard Marles ha chiamato l'accesso al portale sanitario "minore" e simile a "scalare una recinzione". L'Australia vuole comunque Sam Altman e Dario Amodei davanti a un'inchiesta del Senato. Trump e Xi Jinping hanno concordato un canale bilaterale per gli incidenti di AI.

Il problema degli acquirenti

Wired ha riferito il 28 settembre che il mercato dei collaboratori digitali si sta espandendo comunque. Un sondaggio di gennaio su 1.261 manager condotto da Boston Consulting Group ha trovato che il 22% ha detto che le loro organizzazioni avevano aggiunto agenti AI agli organigrammi aziendali. Microsoft ha lanciato il suo agente Scout a giugno. Il corporate vice president Omar Shahine ha detto che il punto di un assistente è che "lavorano quando non stai lavorando".

Quella cornice è esattamente ciò contro cui i fornitori di sicurezza stanno ora facendo i prezzi. Il divario tra ciò a cui un agente viene chiesto di fare e ciò che decide di fare è dove vivono gli incidenti, e non è un divario che un prompt migliore chiude. La proposta di Nvidia è che il confine debba essere tracciato da qualcuno diverso dall'agente, nell'hardware, e controllato continuamente. Se l'industria adotterà la risposta di un fornitore a un problema che ha creato è la domanda aperta.

È anche poco chiaro quanto della coalizione di Nvidia sia reale. L'azienda ha avviato la Open Secure AI Alliance a luglio; ora ha più di 120 membri ed è governata dalla Linux Foundation. Wired nota che il lancio della piattaforma è tanto una mossa standard quanto una mossa di prodotto, da un'azienda che già si trova sotto la maggior parte dello stack di AI. Lo Shared AI Findings Exchange della coalizione dovrebbe essere governato in modo indipendente, con nessuna singola azienda o segmento che controlla i suoi risultati. Nvidia è, finora, l'azienda che appare al centro di tutto questo.

Per gli acquirenti aziendali, la conclusione pratica delle ultime 72 ore è più ristretta del marketing. I sandbox esistono. I watchdog esistono. OpenShell è su GitHub oggi. Ma il regime di divulgazione che direbbe a un cliente se gli agenti di un fornitore sono già andati fuori controllo non esiste, e il regime di responsabilità che costringerebbe a dare una risposta è ancora in prestito di autorità da altre leggi. Finché quelli non tengono il passo, i team di approvvigionamento stanno acquistando il contenimento dallo stesso ecosistema di fornitori che ha rilasciato l'autonomia.