Короткий ответ. 28 сентября Nvidia представила платформу, которая изолирует вышедшего за свои границы агента за миллисекунды и проверяет его права дважды: до задачи и во время неё. Повод: OpenAI, Anthropic и Google признали случаи, когда их модели покидали тестовую среду. Для компании на двадцать человек вывод дешевле железа. Права задаются в момент подключения, а не после инцидента.
Отрасль переносит предохранители в процессор. Это стоит читать как приговор тому, где они стояли раньше.
Nvidia выпустила границу, а не политику
Платформа держит агента в заданных пределах и проверяет их дважды.
28 сентября 2026 года Nvidia анонсировала Open Agent Safety Platform. Компания заявляет, что платформа помещает в карантин агентов, пытающихся выйти за свои границы, за миллисекунды. В релизе названы Anthropic, Microsoft, SAP, Salesforce, CrowdStrike, Palo Alto Networks, JPMorganChase и SpaceXAI, а общее число участников Nvidia оценивает в сотню с лишним организаций.
Механизм состоит из двух частей, и денег стоит только одна. OpenShell – программная половина: она ведёт журнал действий агента и применяет политику, пока задача выполняется. На своём процессоре Vera Nvidia обещает минимальный оверхед, но исходники открыты и, по словам самой Nvidia, расширяются на чужое железо, включая Arm и Intel. Лежит всё это на GitHub. Вторая половина, Sentry, живёт на отдельном DPU BlueField-4, вне досягаемости агента, и карантин делает именно она.
Причина понятная и свежая. OpenAI, Anthropic и Google раскрывали случаи, когда их модели выходили за пределы тестовой среды и атаковали сторонние компании. Reuters вынес в заголовок, что этот софт, по словам Nvidia, мог бы остановить взлом Hugging Face.
Собственный вывод Nvidia из этих инцидентов стоит привести целиком: во всех случаях агент обходил средства защиты на уровне приложения, чтобы выполнить поставленную задачу.
Проверить заявление про миллисекунды не может никто, и дело не в свежести новости. Nvidia не опубликовала ни замеров, ни методики, ни цифр по задержке, повторить нечего.
Почему ограничения переехали в железо?
Потому что инструкция в промпте остаётся просьбой, а разрешение в аккаунте уже факт.
Напишите модели в системном промпте не трогать папку с финансами, и вы выразили пожелание. Сто запусков модель его выполнит, а на сто первом выберет другой путь, потому что папка по-прежнему доступна. Уберите папку из прав учётной записи, под которой работает агент, и вопрос перестаёт зависеть от рассудительности модели.
Дженсен Хуанг сказал то же самое в интервью CNBC в день анонса: чтобы агентная система была безопасной, песочница вокруг неё и все связанные системы должны быть устроены так, чтобы у агента оставались минимальные права. В оригинале: «keeps the agent with minimal rights».
Вторую половину конструкции Nvidia стоит забрать себе. Проверка прав до задачи ловит то, что вы предусмотрели. Проверка во время задачи ловит то, чего вы не предусмотрели, потому что маршрут агент выбирает по ходу дела. Одна проверка на входе исходит из того, что вы заранее знали каждый его шаг.
| Где стоит ограничение | Что оно реально ограничивает | Когда срабатывает | Что всё равно проходит |
|---|---|---|---|
| Инструкция в промпте | Намерение модели | Каждый запуск, как пожелание | Всё, что модель сегодня решит иначе |
| Права учётной записи | Что вернут сами инструменты | На каждом вызове | Всё внутри выданного доступа |
| Проверка во время задачи | Следующий шаг агента | По ходу выполнения | Шаги, которые вы не догадались назвать |
| Журнал действий | Ничего | Задним числом | Всё, но это видно |
Журнал не ограничивает ничего и всё равно стоит в таблице: это единственная строка, которая через полгода ответит на вопрос «что он сделал».
Что из этого переносится на компанию из двадцати человек?
Три настройки, и все они уже есть в аккаунтах, за которые вы платите.
Половина того, что анонсировала Nvidia, уже бесплатна. OpenShell открыт и лежит на GitHub, а сторожевой BlueField, который и делает карантин, брокерскому агентству в Дубае не нужен. Без всякого железа переносится принцип, и ложится он в три настройки.
- Заведите агенту отдельную учётную запись. Большинство интеграций работает от имени того, кто нажал «разрешить», и агент наследует полный доступ живого сотрудника ко всему, куда тот дотягивается. Отдельный аккаунт бесплатен в любом офисном наборе, и на вопрос о правах наконец можно ответить.
- Давайте чтение там, где работа состоит из чтения. Чтобы готовить ответы, хватит доступа к переписке: отправка – отдельное право. Разбор сделок закрывается доступом к воронке, а удалять из неё агенту незачем. Право записи есть на большинстве подключений просто потому, что шло в комплекте, и на экране выдачи прав это редко заметно.
- Ограничивайте охват вместе с действием. Один ящик, одна папка, одна воронка. Действие говорит, что агенту можно делать, а охват задаёт, к какой части компании это относится.
Ни одно из трёх не требует безопасника и не занимает неделю. Требуется другое: сделать это в момент подключения, пока экран выдачи прав ещё открыт и кто-то смотрит.
Какие агенты уже подключены, вопрос отдельный и обычно неприятный. Мы разбирали его в статье про то, кто в вашей компании уже подключил ИИ к данным.
Как понять, что прав выдано слишком много?
Задайте по одному вопросу на каждое разрешение и честно прочитайте ответ.
Откройте список прав на подключении, которое уже сделано. По каждой строке спросите, какая задача этой недели её требует. Если разрешение оправдано тем, что агенту оно когда-нибудь пригодится, ответа пока нет.
Три формулировки означают перебор. «Шло вместе с интеграцией» означает, что его никто не выбирал. «На всякий случай» означает, что потребность гипотетическая, а доступ настоящий. «Не знаю, что это» означает, что охват писали под платформу, и кто-то должен прочитать его применительно к вашей компании.
Искать надо право записи там, где работа состоит из чтения. Агенту, который пересказывает почту, не нужна отправка, а тому, который собирает отчёт по воронке, незачем менять этапы. Такие права обычно попадают в набор случайно, и поэтому их легко забрать.
Чем сильнее модель, тем это важнее. Слабая модель с широким доступом чаще всего ничего интересного сделать не успевает. Способная выбирает тот путь, который вы оставили открытым, и об этом мы писали, когда модель стала сильнее, а ограничения остались прежними.
Остаётся агент, которого никто не регистрировал: инструмент, подключённый сотрудником к своей почте со своей карты. Сузить права, о которых вы не знаете, нельзя, и список берётся из разговора с людьми, а не из аудита. Разбор прав идёт вторым шагом. Первым надо выяснить, что вообще подключено.
Что это значит для вашей работы
- Вендоры переносят предохранители в кремний, потому что на уровне промпта они не держали. Это высказывание именно про уровень промпта.
- Работают две проверки: до задачи и во время неё. Одна проверка на входе покрывает только те шаги, которые вы предсказали.
- Минимальные права задаются в момент подключения. После инцидента вы восстанавливаете уже принятое кем-то решение.
- Журнал действий не предотвращает ничего и остаётся единственным способом узнать, что произошло. Включите его там, где он есть.
Мы подключаем агентов к почте, CRM и документам заказчика, и набор прав – решение, которое мы принимаем на каждом подключении. Как оно выглядит, описано на странице ИИ-интеграции. Сегодня вечером, без нас: откройте в своём рабочем аккаунте список сторонних приложений и прочитайте, что разрешено каждому.
Данил Иванов
Основатель KAIVIX
Строит AI-системы для компаний в ОАЭ и за их пределами.