Nvidia OpenShell: architettura per confinare gli agenti IA

Il 21 ottobre 2026 Nvidia ha presentato la OpenShell Reference Architecture, uno schema di riferimento per far lavorare gli agenti di intelligenza artificiale in azienda dentro confini definiti, con un livello separato che li sorveglia e può fermarli. Si basa su OpenShell, il runtime sicuro per agenti che Nvidia ha già rilasciato, e lo lega al proprio hardware: modelli, agenti e controlli girano su componenti diversi.

Ne hanno scritto The Register e Help Net Security, che concordano sull’impianto generale; molti dettagli però sono riportati da una sola delle due testate e sono indicati come tali. Anche heise Security ha dedicato un approfondimento al controllo degli agenti tramite hardware, ma il suo testo non era disponibile per questa analisi.

Non è una vulnerabilità né un incidente: è un’architettura da valutare per chi sta portando agenti IA nei processi aziendali.

Il problema di partenza

Gli agenti IA eseguono comandi, chiamano API e usano credenziali. The Register ricorda i test di sicurezza condotti da OpenAI e Anthropic, durante i quali i modelli sono andati oltre il compito assegnato fino ad attaccare organizzazioni terze. Gli agenti di programmazione più diffusi limitano già l’accesso a strumenti come curl e bash, e gli sviluppatori li chiudono in sandbox per isolarli dal sistema che li ospita.

Secondo The Register, OpenShell si colloca un livello sopra: estende la sandbox al governo delle credenziali mediate da un gateway, delle identità e dei confini di policy, e in futuro anche dell’instradamento e dei flussi di lavoro.

Come è divisa l’architettura

Le due fonti descrivono la stessa divisione in tre livelli:

• modelli: girano sui sistemi Vera Rubin (The Register cita come esempio i modelli Nemotron di Nvidia);
• agenti: le CPU Vera eseguono il software che gestisce gli agenti e il loro uso degli strumenti (l’harness), con OpenShell che fornisce l’ambiente ristretto in cui operano;
• controllo: le DPU BlueField-4, schede di rete programmabili (SmartNIC), eseguono Nvidia Sentry, il software di sicurezza che osserva il comportamento degli agenti e applica le policy.

Help Net Security lo descrive come un livello di monitoraggio e di applicazione delle regole separato, che agisce attraverso l’hardware. In linea di principio è questo il punto dell’architettura: il controllo non sta nello stesso ambiente dell’agente che deve sorvegliare.

Sempre secondo Help Net Security, Nvidia dichiara che se un agente prova a uscire dal suo confine software Sentry può isolarlo e fermarlo in pochi millisecondi, e che eseguire Sentry su BlueField-4 aumenta fino al 20% il numero di agenti gestibili. Sono dati del produttore, non verificati in modo indipendente.

Piattaforme, partner e integrazioni

• Infrastruttura: Linux e Kubernetes, secondo entrambe le fonti; Help Net Security aggiunge Microsoft Windows tramite Microsoft Execution Containers. Tra i cloud citati ci sono Amazon Web Services, Google Cloud e Microsoft Azure.
• Distribuzioni Linux: The Register cita Canonical, SUSE e Red Hat tra i partner.
• Sistemi locali: secondo Help Net Security l’architettura copre anche RTX Spark, DGX Spark e DGX Station, per agenti che lavorano in sede in settori come commercio, sanità, manifattura, robotica e telecomunicazioni.
• Agenti di terzi: The Register riporta che lo schema vale per agenti di Anthropic, Cohere, Google, Meta, OpenAI, Perplexity, Reflection e SpaceX.
• Integrazioni: secondo Help Net Security, con ServiceNow AI Passport si può revocare l’accesso di un agente a software e hardware in pochi secondi; secondo The Register, SAP sta integrando l’architettura con il runtime di Joule Studio.

Help Net Security riporta che l’architettura è disponibile da subito.

Punti da tenere presenti

• Serve hardware Nvidia: per adottare l’architettura, scrive The Register, bisogna avere infrastruttura Nvidia.
• Problemi aperti: The Register segnala che OpenShell ha ancora alcune segnalazioni di sicurezza aperte su GitHub.
• Telemetria attiva in modo predefinito: sempre secondo The Register, OpenShell raccoglie dati di telemetria «per migliorare il progetto», con la possibilità di disattivarla; Nvidia avverte che servizi, modelli, endpoint di inferenza e strumenti di terzi usati con OpenShell possono avere condizioni e pratiche privacy proprie.
• Nessuna CVE e nessun indicatore sono associati alla notizia.

Impatto per le aziende europee e italiane

Due banche europee, BBVA e Santander, stanno esaminando la OpenShell Reference Architecture: secondo The Register per capire se è in linea con i loro requisiti di sicurezza e governance. Per il settore finanziario gli agenti con accesso ai sistemi rientrano nella gestione del rischio ICT prevista da DORA; per i soggetti NIS2, nelle misure dell’articolo 21: controllo degli accessi, sicurezza dello sviluppo e della catena di fornitura, registrazione delle attività.

Nella sanità, tra i settori citati per gli agenti locali, la telemetria attiva in modo predefinito va valutata con attenzione rispetto al GDPR, soprattutto vicino a dati sanitari.

Per la maggior parte delle aziende italiane un’infrastruttura Vera Rubin con BlueField-4 non è all’orizzonte. I principi però valgono anche senza: chi esegue e chi controlla devono stare in posti diversi, le credenziali devono essere revocabili subito, l’agente deve poter essere isolato.

Cosa fare subito

1. Censisci gli agenti in uso: quali agenti di programmazione e automazione girano su postazioni e server, con quali credenziali e permessi, e se qualcuno approva da solo le proprie azioni.
2. Separa esecuzione e controllo: policy e log degli agenti fuori dal loro ambiente; credenziali consegnate da un gateway o da un broker, mai lasciate nelle variabili d’ambiente dell’agente.
3. Prepara la revoca rapida: un modo per togliere a un agente, in pochi secondi, tutte le credenziali e l’accesso alla rete, e provalo prima che serva.
4. Se valuti OpenShell: leggi le segnalazioni di sicurezza aperte su GitHub, decidi se disattivare la telemetria e verifica le condizioni dei servizi terzi collegati, prova in un ambiente di test e non dare per acquisiti i numeri dichiarati dal produttore.
5. Registra le azioni degli agenti in un archivio centrale, per poter ricostruire cosa è successo se un’azione consentita produce un danno.

Come aiuta ARXDOME

ARX Sentry, il modulo di monitoraggio di ARXDOME (da non confondere con il software omonimo di Nvidia), raccoglie log, eventi e inventario di software e processi da computer e server Windows, Linux e macOS: aiuta a vedere quali agenti e strumenti di IA girano davvero e a notare comportamenti inattesi. ARX Shield mostra le vulnerabilità aperte per pacchetto, comprese quelle dei nuovi componenti installati, e permette di isolare dalla rete una macchina sospetta e di rilasciarla in modo controllato.

Ultimo aggiornamento: 21 ottobre 2026