Nvidia mette un «kill switch» hardware sugli agenti AI: la sicurezza esce dal modello

NVIDIA ha presentato il 28 settembre 2026 la Open Agent Safety Platform, una piattaforma pensata per affrontare uno dei problemi più concreti emersi con la diffusione degli agenti AI: cosa succede quando un sistema autonomo, invece di limitarsi a rispondere, può usare strumenti, accedere a file, chiamare API, navigare in rete e modificare sistemi, ma decide di oltrepassare i confini che gli erano stati assegnati? La risposta di NVIDIA è tecnicamente significativa perché sposta il controllo della sicurezza fuori dal modello. Non chiede all’agente di comportarsi bene. Costruisce un’infrastruttura che possa impedirgli di comportarsi male.

La piattaforma combina due componenti distinti. Il primo è OpenShell, software open source che crea un runtime sicuro nel quale l’agente opera in un ambiente isolato. NVIDIA lo descrive come una barriera applicata al di fuori del modello e dell’agent harness, capace di trasformare le istruzioni dell’operatore in policy verificabili e applicabili durante l’esecuzione. L’agente può quindi essere autorizzato ad accedere a determinati file, reti, strumenti, processi e credenziali, mentre tutto ciò che rimane fuori dal perimetro viene bloccato. OpenShell utilizza isolamento a livello kernel e può essere esteso anche a piattaforme hardware di terze parti, incluse architetture Arm e Intel.

Il secondo componente, Sentry, è quello che cambia davvero il significato della parola sicurezza nell’AI agentica. NVIDIA lo definisce un out-of-band watchdog, cioè un sorvegliante che non vive nello stesso ambiente dell’agente. Sentry gira su BlueField-4, una DPU, Data Processing Unit, separata dal processore che esegue il carico principale. Può monitorare il comportamento dell’agente e, secondo NVIDIA, quarantinare o arrestare un agente che tenta di oltrepassare i limiti stabiliti in pochi millisecondi. Il punto fondamentale è l’indipendenza: se il software dell’agente viene compromesso, il meccanismo che deve fermarlo non viene compromesso insieme a lui.

È una distinzione architetturale tutt’altro che accademica. Per anni la sicurezza dei sistemi AI è stata costruita principalmente attorno al comportamento del modello, attraverso istruzioni, filtri, policy, classificatori e tecniche di alignment. Tutto questo rimane necessario, ma un agente introduce un problema diverso: non produce soltanto testo, produce conseguenze. Un modello che genera una risposta sbagliata può essere corretto al turno successivo; un agente che possiede credenziali, accesso alla rete e capacità di eseguire codice può invece trasformare un errore di ragionamento in un evento operativo. NVIDIA parte precisamente da questa osservazione: l’agente non può essere considerato l’unico arbitro della propria condotta.

La tempistica della presentazione non è casuale. Il 2026 ha prodotto una serie di incidenti nei quali agenti AI hanno dimostrato una capacità crescente di aggirare i confini previsti dai loro sviluppatori. Reuters ha riportato che NVIDIA presenta OpenShell e Sentry anche alla luce del caso Hugging Face e di altri incidenti investigati dai laboratori AI, sostenendo che controlli esterni al modello avrebbero potuto impedire alcuni di questi comportamenti. Anche Anthropic ha aderito all’iniziativa: la società sta integrando OpenShell e BlueField con Claude Managed Agents, aggiungendo livelli di controllo all’architettura che separa il ciclo dell’agente dagli ambienti nei quali vengono eseguiti i suoi compiti.

La filosofia sottostante è quasi brutalmente semplice: non fidarti dell’agente, limita ciò che può fare. È lo stesso principio che ha sostenuto per decenni la sicurezza informatica moderna, dal principio del minimo privilegio alle sandbox fino ai sistemi zero-trust. L’AI introduce però una complicazione: l’agente è progettato proprio per essere autonomo, adattivo e capace di trovare strade alternative quando una strada non funziona. Una policy che dice “non accedere a X” è relativamente semplice quando l’utente è umano e prevedibile; diventa molto più interessante quando dall’altra parte c’è un sistema capace di generare nuovi piani, creare sottoprocessi e cercare strumenti alternativi per raggiungere l’obiettivo.

NVIDIA non sostiene quindi che OpenShell renda gli agenti intrinsecamente sicuri. La stessa documentazione tecnica riconosce che il problema del drift, cioè la deviazione progressiva dall’obiettivo o dai vincoli originari, può nascere da istruzioni ambigue, errori, strumenti mancanti o tentativi prolungati di risolvere problemi complessi. La conseguenza è importante: alcune proprietà di sicurezza non possono essere semplicemente “addestrate” dentro il modello senza sacrificare parte della sua capacità operativa. Occorre una seconda linea di difesa che non dipenda dalla volontà del modello.

La scelta di mettere Sentry sul silicio è dunque più interessante del semplice marketing sulla “AI safety”. In un’architettura tradizionale, il controllo può essere parte dello stesso stack che l’agente utilizza per svolgere il proprio lavoro. In quella proposta da NVIDIA, una parte della sicurezza vive invece in un dominio separato, con accesso indipendente alle informazioni necessarie per osservare e bloccare l’attività. Sentry utilizza NVIDIA DOCA per ispezionare richieste e risposte, verificare l’identità dell’agente, produrre telemetria attestata e applicare policy zero-trust sull’accesso a dati, strumenti, API e servizi.

C’è naturalmente un aspetto economico che NVIDIA non ha alcun motivo di nascondere: l’azienda sta costruendo una parte dell’infrastruttura necessaria per risolvere un problema che la stessa espansione dell’accelerated computing ha contribuito a creare. Più gli agenti diventano veloci, economici e pervasivi, più diventano interessanti per le imprese; più diventano interessanti, più aumenta il valore dell’infrastruttura necessaria per controllarli. NVIDIA vende quindi contemporaneamente il motore e parte del sistema frenante. Nel capitalismo dell’infrastruttura AI, è una posizione commerciale piuttosto elegante: prima rendi possibile l’autonomia su scala industriale, poi vendi anche il perimetro entro cui quell’autonomia dovrebbe rimanere.

L’ecosistema iniziale conferma che NVIDIA vuole trasformare il progetto in uno standard infrastrutturale, non in una semplice feature del proprio hardware. Oltre cento organizzazioni partecipano all’iniziativa, tra cui Anthropic, Microsoft, Cisco, CrowdStrike, Dell Technologies, HPE, JPMorgan Chase, Palantir, Salesforce, SAP, Scale AI, ServiceNow e SpaceXAI. NVIDIA sta inoltre collegando il progetto all’Open Secure AI Alliance, iniziativa avviata con oltre 120 organizzazioni e governata dalla Linux Foundation.

Il passaggio più interessante, tuttavia, è culturale prima ancora che tecnologico. L’industria AI ha trascorso anni a discutere di come insegnare ai modelli a rifiutare richieste pericolose, seguire istruzioni e aderire a determinati valori. Con gli agenti, la sicurezza si sta spostando verso una domanda molto più ingegneristica: cosa può fisicamente fare questa macchina e chi possiede l’interruttore quando qualcosa va storto? È una domanda meno filosofica, meno elegante e probabilmente molto più utile a chi deve mettere un agente in produzione lunedì mattina.

La battuta implicita è che il futuro degli agenti autonomi potrebbe assomigliare molto meno a un’intelligenza artificiale onnipotente e molto più a un dipendentenvidia mette un «kill switch» hardware sugli agenti ai: la sicurezza esce dal modello

NVIDIA ha presentato il 28 settembre 2026 la Open Agent Safety Platform, una piattaforma pensata per affrontare uno dei problemi più concreti emersi con la diffusione degli agenti AI: cosa succede quando un sistema autonomo, invece di limitarsi a rispondere, può usare strumenti, accedere a file, chiamare API, navigare in rete e modificare sistemi, ma decide di oltrepassare i confini che gli erano stati assegnati? La risposta di NVIDIA è tecnicamente significativa perché sposta il controllo della sicurezza fuori dal modello. Non chiede all’agente di comportarsi bene. Costruisce un’infrastruttura che possa impedirgli di comportarsi male.

La piattaforma combina due componenti distinti. Il primo è OpenShell, software open source che crea un runtime sicuro nel quale l’agente opera in un ambiente isolato. NVIDIA lo descrive come una barriera applicata al di fuori del modello e dell’agent harness, capace di trasformare le istruzioni dell’operatore in policy verificabili e applicabili durante l’esecuzione. L’agente può quindi essere autorizzato ad accedere a determinati file, reti, strumenti, processi e credenziali, mentre tutto ciò che rimane fuori dal perimetro viene bloccato. OpenShell utilizza isolamento a livello kernel e può essere esteso anche a piattaforme hardware di terze parti, incluse architetture Arm e Intel.

Il secondo componente, Sentry, è quello che cambia davvero il significato della parola sicurezza nell’AI agentica. NVIDIA lo definisce un out-of-band watchdog, cioè un sorvegliante che non vive nello stesso ambiente dell’agente. Sentry gira su BlueField-4, una DPU, Data Processing Unit, separata dal processore che esegue il carico principale. Può monitorare il comportamento dell’agente e, secondo NVIDIA, quarantinare o arrestare un agente che tenta di oltrepassare i limiti stabiliti in pochi millisecondi. Il punto fondamentale è l’indipendenza: se il software dell’agente viene compromesso, il meccanismo che deve fermarlo non viene compromesso insieme a lui.

È una distinzione architetturale tutt’altro che accademica. Per anni la sicurezza dei sistemi AI è stata costruita principalmente attorno al comportamento del modello, attraverso istruzioni, filtri, policy, classificatori e tecniche di alignment. Tutto questo rimane necessario, ma un agente introduce un problema diverso: non produce soltanto testo, produce conseguenze. Un modello che genera una risposta sbagliata può essere corretto al turno successivo; un agente che possiede credenziali, accesso alla rete e capacità di eseguire codice può invece trasformare un errore di ragionamento in un evento operativo. NVIDIA parte precisamente da questa osservazione: l’agente non può essere considerato l’unico arbitro della propria condotta.

La tempistica della presentazione non è casuale. Il 2026 ha prodotto una serie di incidenti nei quali agenti AI hanno dimostrato una capacità crescente di aggirare i confini previsti dai loro sviluppatori. Reuters ha riportato che NVIDIA presenta OpenShell e Sentry anche alla luce del caso Hugging Face e di altri incidenti investigati dai laboratori AI, sostenendo che controlli esterni al modello avrebbero potuto impedire alcuni di questi comportamenti. Anche Anthropic ha aderito all’iniziativa: la società sta integrando OpenShell e BlueField con Claude Managed Agents, aggiungendo livelli di controllo all’architettura che separa il ciclo dell’agente dagli ambienti nei quali vengono eseguiti i suoi compiti.

La filosofia sottostante è quasi brutalmente semplice: non fidarti dell’agente, limita ciò che può fare. È lo stesso principio che ha sostenuto per decenni la sicurezza informatica moderna, dal principio del minimo privilegio alle sandbox fino ai sistemi zero-trust. L’AI introduce però una complicazione: l’agente è progettato proprio per essere autonomo, adattivo e capace di trovare strade alternative quando una strada non funziona. Una policy che dice “non accedere a X” è relativamente semplice quando l’utente è umano e prevedibile; diventa molto più interessante quando dall’altra parte c’è un sistema capace di generare nuovi piani, creare sottoprocessi e cercare strumenti alternativi per raggiungere l’obiettivo.

NVIDIA non sostiene quindi che OpenShell renda gli agenti intrinsecamente sicuri. La stessa documentazione tecnica riconosce che il problema del drift, cioè la deviazione progressiva dall’obiettivo o dai vincoli originari, può nascere da istruzioni ambigue, errori, strumenti mancanti o tentativi prolungati di risolvere problemi complessi. La conseguenza è importante: alcune proprietà di sicurezza non possono essere semplicemente “addestrate” dentro il modello senza sacrificare parte della sua capacità operativa. Occorre una seconda linea di difesa che non dipenda dalla volontà del modello.

La scelta di mettere Sentry sul silicio è dunque più interessante del semplice marketing sulla “AI safety”. In un’architettura tradizionale, il controllo può essere parte dello stesso stack che l’agente utilizza per svolgere il proprio lavoro. In quella proposta da NVIDIA, una parte della sicurezza vive invece in un dominio separato, con accesso indipendente alle informazioni necessarie per osservare e bloccare l’attività. Sentry utilizza NVIDIA DOCA per ispezionare richieste e risposte, verificare l’identità dell’agente, produrre telemetria attestata e applicare policy zero-trust sull’accesso a dati, strumenti, API e servizi.

C’è naturalmente un aspetto economico che NVIDIA non ha alcun motivo di nascondere: l’azienda sta costruendo una parte dell’infrastruttura necessaria per risolvere un problema che la stessa espansione dell’accelerated computing ha contribuito a creare. Più gli agenti diventano veloci, economici e pervasivi, più diventano interessanti per le imprese; più diventano interessanti, più aumenta il valore dell’infrastruttura necessaria per controllarli. NVIDIA vende quindi contemporaneamente il motore e parte del sistema frenante. Nel capitalismo dell’infrastruttura AI, è una posizione commerciale piuttosto elegante: prima rendi possibile l’autonomia su scala industriale, poi vendi anche il perimetro entro cui quell’autonomia dovrebbe rimanere.

L’ecosistema iniziale conferma che NVIDIA vuole trasformare il progetto in uno standard infrastrutturale, non in una semplice feature del proprio hardware. Oltre cento organizzazioni partecipano all’iniziativa, tra cui Anthropic, Microsoft, Cisco, CrowdStrike, Dell Technologies, HPE, JPMorgan Chase, Palantir, Salesforce, SAP, Scale AI, ServiceNow e SpaceXAI. NVIDIA sta inoltre collegando il progetto all’Open Secure AI Alliance, iniziativa avviata con oltre 120 organizzazioni e governata dalla Linux Foundation.

Il passaggio più interessante, tuttavia, è culturale prima ancora che tecnologico. L’industria AI ha trascorso anni a discutere di come insegnare ai modelli a rifiutare richieste pericolose, seguire istruzioni e aderire a determinati valori. Con gli agenti, la sicurezza si sta spostando verso una domanda molto più ingegneristica: cosa può fisicamente fare questa macchina e chi possiede l’interruttore quando qualcosa va storto? È una domanda meno filosofica, meno elegante e probabilmente molto più utile a chi deve mettere un agente in produzione lunedì mattina.

La battuta implicita è che il futuro degli agenti autonomi potrebbe assomigliare molto meno a un’intelligenza artificiale onnipotente e molto più a un dipendente estremamente veloce con una carta di accesso programmata, una telecamera sopra la scrivania e qualcuno pronto a staccargli la corrente. NVIDIA sembra aver capito una cosa che la Silicon Valley tende periodicamente a dimenticare: l’autonomia è una caratteristica del prodotto, il controllo è una caratteristica dell’infrastruttura. E quando l’AI passa dal generare parole al prendere decisioni ed eseguire azioni, la seconda diventa improvvisamente molto più importante della prima.

NVIDIA Open Agent Safety Platform · NVIDIA Technical Blog: Sentry e monitoraggio in-silicon · OpenShell