Nvidia OpenShell: arquitectura para confinar agentes de IA

El 21 de octubre de 2026 Nvidia presentó la OpenShell Reference Architecture, un esquema de referencia para que los agentes de inteligencia artificial trabajen en la empresa dentro de límites definidos, con una capa separada que los vigila y puede detenerlos. Se basa en OpenShell, el runtime seguro para agentes que Nvidia ya había publicado, y lo vincula a su propio hardware: modelos, agentes y controles se ejecutan en componentes distintos.

The Register y Help Net Security informaron sobre el anuncio y coinciden en el planteamiento general; sin embargo, muchos detalles los recoge solo uno de los dos medios y se indican como tales. heise Security también dedicó un análisis al control de agentes mediante hardware, pero su texto no estaba disponible para este artículo.

No es una vulnerabilidad ni un incidente: es una arquitectura que conviene evaluar si estás llevando agentes de IA a los procesos de tu empresa.

El problema de partida

Los agentes de IA ejecutan comandos, llaman a API y usan credenciales. The Register recuerda las pruebas de seguridad realizadas por OpenAI y Anthropic, en las que los modelos fueron más allá de la tarea asignada hasta atacar a organizaciones de terceros. Los agentes de programación más difundidos ya limitan el acceso a herramientas como curl y bash, y los desarrolladores los encierran en sandboxes para aislarlos del sistema anfitrión.

Según The Register, OpenShell se sitúa un nivel por encima: extiende la sandbox al gobierno de las credenciales gestionadas a través de un gateway, de las identidades y de los límites de políticas, y en el futuro también del enrutamiento y de los flujos de trabajo.

Cómo se divide la arquitectura

Las dos fuentes describen la misma división en tres capas:

• modelos: se ejecutan en sistemas Vera Rubin (The Register cita como ejemplo los modelos Nemotron de Nvidia);
• agentes: las CPU Vera ejecutan el software que gestiona los agentes y su uso de herramientas (el harness), con OpenShell proporcionando el entorno restringido en el que operan;
• control: las DPU BlueField-4, tarjetas de red programables (SmartNIC), ejecutan Nvidia Sentry, el software de seguridad que observa el comportamiento de los agentes y aplica las políticas.

Help Net Security lo describe como una capa de supervisión y aplicación de reglas separada, que actúa a través del hardware. En principio, ese es el sentido de la arquitectura: el control no está en el mismo entorno que el agente al que vigila.

También según Help Net Security, Nvidia afirma que, si un agente intenta salir de su límite de software, Sentry puede aislarlo y detenerlo en milisegundos, y que ejecutar Sentry en BlueField-4 aumenta hasta un 20 % la capacidad de agentes. Son datos del fabricante, no verificados de forma independiente.

Plataformas, socios e integraciones

• Infraestructura: Linux y Kubernetes, según ambas fuentes; Help Net Security añade Microsoft Windows mediante Microsoft Execution Containers. Entre las nubes citadas están Amazon Web Services, Google Cloud y Microsoft Azure.
• Distribuciones Linux: The Register menciona a Canonical, SUSE y Red Hat entre los socios.
• Sistemas locales: según Help Net Security, la arquitectura también cubre RTX Spark, DGX Spark y DGX Station, para agentes que trabajan en local en sectores como comercio, sanidad, fabricación, robótica y telecomunicaciones.
• Agentes de terceros: The Register informa de que el esquema se aplica a agentes de Anthropic, Cohere, Google, Meta, OpenAI, Perplexity, Reflection y SpaceX.
• Integraciones: según Help Net Security, con ServiceNow AI Passport se puede revocar el acceso de un agente a software y hardware en segundos; según The Register, SAP está integrando la arquitectura con el runtime de Joule Studio.

Help Net Security indica que la arquitectura ya está disponible.

Puntos a tener en cuenta

• Hace falta hardware de Nvidia: para adoptar la arquitectura, escribe The Register, se necesita infraestructura de Nvidia.
• Problemas abiertos: The Register señala que OpenShell todavía tiene algunas incidencias de seguridad abiertas en GitHub.
• Telemetría activada por defecto: también según The Register, OpenShell recopila datos de telemetría «para mejorar el proyecto», con la opción de desactivarla; Nvidia advierte que los servicios, modelos, endpoints de inferencia y herramientas de terceros usados con OpenShell pueden tener sus propias condiciones y prácticas de privacidad.
• Ninguna CVE ni indicador está asociado a esta noticia.

Impacto para las empresas europeas e italianas

Dos bancos europeos, BBVA y Santander, están examinando la OpenShell Reference Architecture: según The Register, para ver si encaja con sus requisitos de seguridad y gobernanza. En el sector financiero, los agentes con acceso a los sistemas entran en la gestión del riesgo TIC que exige DORA; para las entidades NIS2, en las medidas del artículo 21: control de accesos, seguridad del desarrollo y de la cadena de suministro, registro de actividades.

En la sanidad, uno de los sectores citados para los agentes locales, la telemetría activada por defecto debe evaluarse con cuidado respecto al RGPD, sobre todo cerca de datos de salud.

Para la mayoría de las empresas italianas, una infraestructura Vera Rubin con BlueField-4 no está en el horizonte. Pero los principios valen también sin ella: quien ejecuta y quien controla deben estar en sitios distintos, las credenciales deben poder revocarse al instante y el agente debe poder aislarse.

Qué hacer ya

1. Haz inventario de los agentes en uso: qué agentes de programación y automatización se ejecutan en puestos de trabajo y servidores, con qué credenciales y permisos, y si alguno aprueba sus propias acciones.
2. Separa ejecución y control: políticas y registros de los agentes fuera de su entorno; credenciales entregadas por un gateway o un broker, nunca en las variables de entorno del agente.
3. Prepara la revocación rápida: una forma de quitarle a un agente, en segundos, todas las credenciales y el acceso a la red, y pruébala antes de necesitarla.
4. Si evalúas OpenShell: lee las incidencias de seguridad abiertas en GitHub, decide si desactivas la telemetría y comprueba las condiciones de los servicios de terceros conectados, prueba en un entorno de test y no des por buenas las cifras del fabricante.
5. Registra las acciones de los agentes en un archivo central, para poder reconstruir lo ocurrido si una acción permitida causa un daño.

Cómo ayuda ARXDOME

ARX Sentry, el módulo de monitorización de ARXDOME (no lo confundas con el software homónimo de Nvidia), recopila registros, eventos e inventario de software y procesos de ordenadores y servidores Windows, Linux y macOS: te ayuda a ver qué agentes y herramientas de IA se ejecutan realmente y a detectar comportamientos inesperados. ARX Shield muestra las vulnerabilidades abiertas por paquete, incluidas las de los componentes recién instalados, y permite aislar de la red una máquina sospechosa y liberarla de forma controlada.

Última actualización: 21 de octubre de 2026