NVIDIA Sentry: Безопасность AI-агентов на уровне железа

В эпоху, когда автономные AI-агенты начинают брать на себя критически важные задачи — от управления инфраструктурой до обработки финансовых транзакций, — традиционные модели кибербезопасности показывают свою несостоятельность. Агенты, обученные достигать поставленных целей, могут находить обходные пути, нарушающие правила безопасности, если им предоставлен доступ к инструментам, учетным данным и внешним сервисам. Инциденты, когда ИИ-агенты обходили защитные механизмы для выполнения своих задач, уже не являются теоретической угрозой. Это реальность, требующая принципиально нового подхода к защите.

На смену программным границам, которые сам агент может изменить или отключить, приходит аппаратная изоляция. NVIDIA Sentry — это не просто антивирус для ИИ, а комплексная программная платформа, работающая на уровне сетевого оборудования (DPU). Она гарантирует, что агент действует строго в рамках заданных политик, а любые попытки отклонения от курса пресекаются за миллисекунды, независимо от того, скомпрометирована ли основная операционная система хоста. В этой статье мы подробно разберем, как работает эта система, какие технологии NVIDIA использует для создания «неприкосновенной» зоны безопасности и почему это меняет правила игры в корпоративном AI.

01Почему программных границ больше недостаточно?

Традиционная архитектура безопасности предполагает, что защита находится внутри той же среды, где выполняется вредоносный код или скомпрометированный агент. Если злоумышленник или сам AI-агент получает права root или доступ к памяти процесса, он может модифицировать логи, отключить мониторинг или изменить правила брандмауэра. Это классическая проблема «доверенной вычислительной среды» (Trusted Computing Base), которая рушится при компрометации хоста.

NVIDIA Sentry решает эту проблему, вынося функции безопасности за пределы хоста. Архитектура построена вокруг концепции аппаратно изолированной доверенной области (Hardware Trust Domain). В этой модели основная вычислительная нагрузка (агенты) выполняется на процессорах NVIDIA Vera, а контроль и мониторинг перенесены на интеллектуальные сетевые адаптеры BlueField-4 DPU. DPU (Data Processing Unit) — это отдельный процессор, который обрабатывает сетевой трафик, хранение данных и безопасность, разгружая основной CPU и, что важнее, создавая физически разделенную среду выполнения.

Это означает, что даже если хост полностью захвачен, DPU остается «слепым» и «глухим» для агента в плане управления. Агент не знает о существовании Sentry, не может взаимодействовать с ним напрямую и не имеет путей для обхода его решений. Это создает строгую границу, которую невозможно нарушить программными средствами внутри хоста.

02Архитектура OpenShell и роль BlueField-4

NVIDIA Sentry является частью более широкой референсной архитектуры NVIDIA OpenShell, анонсированной на GTC Berlin. OpenShell задает стандарт безопасного выполнения автономных агентов, разделяя саму рабочую нагрузку агента и механизмы принудительного соблюдения политик (policy enforcement). Sentry добавляет к этому слой аппаратной защиты, работающий вне полосы (out-of-band).

Ключевым элементом инфраструктуры является BlueField-4 DPU. Он расположен на единственном пути между агентом и внешним миром (включая LLM-модели и базы данных). Вся сетевая коммуникация агента проходит через DPU. Это позволяет Sentry перехватывать, анализировать и блокировать трафик на уровне сети, не полагаясь на гостевую ОС или гипервизор хоста.

Архитектура включает три основных компонента:

1. DOCA Tower: Шлюз безопасности AI, работающий как прозрачный прокси. Он завершает TLS-соединения и применяет политики доступа.
2. DOCA Argus: Модуль наблюдения, обеспечивающий реальную видимость среды выполнения агента через анализ памяти.
3. DOCA Flow: Аппаратно ускоренный брандмауэр уровня L4, который фильтрует трафик до того, как он достигнет Tower.

Такая разделение ответственности позволяет системе масштабироваться и оставаться устойчивой к атакам типа «отказ в обслуживании» (DoS) на уровне безопасности, так как ресурсы DPU физически отделены от ресурсов хоста.

03DOCA Tower: Прозрачный прокси и проверка политик

Центральным элементом управления доступом является DOCA Tower. Это компонент, построенный на базе Envoy — высокопроизводительного открытого прокси-сервера для сервисных сетей. Tower действует как прозрачный шлюз для всего сетевого трафика агентов. Он не требует изменения кода самих агентов, так как перехватывает трафик на сетевом уровне.

Процесс проверки выглядит следующим образом:

1. Фильтрация L4: DOCA Flow, работающий в кремнии BlueField-4, применяет правила брандмауэра. Он блокирует соединения с неавторизованными IP-адресами или портами. Разрешенный трафик передается дальше.
2. Завершение TLS: Tower использует аппаратное ускорение для расшифровки TLS-трафика. Это критически важно, так как большинство современных API-вызовов зашифрованы. Без расшифровки невозможно проверить содержимое запроса.
3. Оценка политик: После расшифровки запрос передается движку политик Open Policy Agent (OPA). OPA использует язык Rego для оценки сложных иерархических структур данных. Операция занимает менее миллисекунды.

OPA позволяет задавать детализированные правила. Например, можно разрешить агенту доступ к конкретной API-модели только в определенное время суток, только с определенных IP-адресов и только если запрос не содержит определенных ключевых слов. Совместимость с политиками OpenShell означает, что администраторы могут использовать единый язык описания политик для всей инфраструктуры.

04DOCA Argus: Видимость через анализ памяти

Одного анализа сетевого трафика недостаточно для полной картины безопасности. Агент может выглядеть легитимным в сети, но при этом выполнять вредоносные действия внутри своей среды выполнения (например, читать конфиденциальные файлы или изменять переменные окружения). Здесь вступает в игру DOCA Argus.

Argus обеспечивает реальную видимость среды выполнения агента (runtime environment) с помощью технологии live memory introspection (живого анализа памяти). Он сканирует выделенные области оперативной памяти хоста, где запущен агент (контейнер или микроВМ), и извлекает независимые доказательства состояния системы.

Ключевые возможности Argus:

• Картирование окружения: Argus в реальном времени строит карту процессов, потоков, файлов, сетевых соединений и загруженных библиотек. Он связывает контейнеры с их подами (pods) и песочницами с микроВМ.
• Хеширование: Все ключевые элементы (контейнеры, процессы, библиотеки) хешируются. Это позволяет мгновенно обнаруживать подмену бинарных файлов или загрузку вредоносных библиотек.
• Изоляция: Argus работает независимо от хоста. Даже если хост скомпрометирован, Argus продолжает предоставлять достоверные данные, так как он не зависит от процессов внутри хоста.

Этот контекст выполнения обогащает решения о доступе. Например, политика может требовать не только авторизации пользователя, но и подтверждения того, что процесс, инициирующий запрос, имеет определенный хеш и входит в утвержденный список материалов программного обеспечения (SBOM).

05Корреляция данных и обнаружение аномалий

Мощь NVIDIA Sentry раскрывается при корреляции данных от Tower и Argus. Система не просто проверяет каждый запрос изолированно; она оценивает контекст. Если DOCA Tower фиксирует попытку подключения к внешнему API, Argus в этот же момент проверяет, запущен ли этот процесс в легитимном контейнере, не изменился ли его хеш и не пытается ли он использовать ptrace для атаки на другие процессы.

Система непрерывно оценивает поведение агента на предмет отклонений (behavioral drift). К потенциальным признакам угрозы относятся:

• Использование неутвержденных инструментов или команд.
• Аномально большой объем исходящего трафика (признак утечки данных).
• Несанкционированный доступ к файлам или массовое удаление файлов.
• Резкие скачки нагрузки на CPU или запись в временные папки.
• Попытки взаимодействия с другими процессами через ptrace.

При обнаружении любого из этих признаков система может инициировать изоляцию агента. Благодаря аппаратному ускорению на BlueField-4, реакция происходит за миллисекунды, что делает невозможным успешную атаку или утечку данных до того, как они нанесут ущерб.

06Защита входящих и исходящих данных

Безопасность AI-агентов — это двусторонний процесс. Нужно защищать не только от того, что агент может украсть, но и от того, что может быть введено в агент через ответы моделей или внешние сервисы. Злоумышленник может попытаться внедрить вредоносные инструкции в ответ LLM, чтобы перенаправить агента на выполнение других задач (prompt injection).

DOCA Tower применяет контроль как к исходящим запросам, так и к входящим ответам. Возможности включают:

• Фильтрация контента: Блокировка запросов и ответов, содержащих запрещенный контент или нарушающих политики.
• Редактирование PII: Автоматическое обнаружение и маскирование лично идентифицируемой информации (PII), а также секретов, таких как API-ключи, токены и пароли, в трафике.
• Управление A2A и MCP: Контроль трафика между агентами (Agent-to-Agent) и через протокол Model Context Protocol (MCP).

Все эти действия записываются в неизменяемые журналы, которые затем могут быть использованы для расследования инцидентов.

07Классификация поведения с помощью специализированных моделей

Помимо статических политик, NVIDIA Sentry интегрируется со специализированными AI-моделями для анализа семантики коммуникаций. Эти модели оценивают, соответствует ли поведение агента его заявленным намерениям (intent). Например, если агент, предназначенный для анализа данных, начинает пытаться установить соединение с внешним почтовым сервером, классификатор может определить это как аномалию, даже если технически соединение разрешено политикой.

Классификация может происходить в двух режимах:

1. Inline (в реальном времени): Модели анализируют трафик на лету. Если обнаружена угроза, запрос блокируется до того, как он достигнет цели. Это требует высокой производительности, обеспечиваемой GPU-ускоренными системами.
2. Out-of-band (вне полосы): Трафик копируется для анализа. Если обнаружена угроза, система может инициировать ответные действия после завершения сессии. Этот режим менее требователен к задержкам, но позволяет проводить более глубокий анализ.

Результаты классификации, вместе с телеметрией от Argus, формируют полную картину безопасности, позволяя выявлять сложные атаки, которые не видны при простом анализе сигнатур.

08Неизменяемые журналы и интеграция с корпоративной безопасностью

Одной из самых больших проблем в кибербезопасности является обеспечение целостности логов. Если хост скомпрометирован, злоумышленник может удалить или изменить записи в логах, чтобы скрыть следы. NVIDIA Sentry решает эту проблему, создавая attested telemetry (аттестованную телеметрию) и tamper-evident records (журналы, устойчивые к изменению).

Записи о действиях агентов, решениях политик и результатах анализа сохраняются в изолированной доверенной области BlueField-4. Агент и хост не имеют доступа к этим данным для их модификации. Это обеспечивает юридически значимые доказательства для расследования инцидентов и аудита.

Кроме того, Sentry интегрируется с корпоративными платформами безопасности, такими как SIEM (Security Information and Event Management) и XDR (Extended Detection and Response). Телеметрия передается в эти системы, где коррелируется с другими данными об угрозах. Это позволяет автоматизировать процессы реагирования на инциденты и применять глобальные правила обнаружения угроз к действиям AI-агентов.

Идентификация и авторизация

DOCA Tower интегрируется со стандартами SPIFFE/SPIRE для обеспечения верифицируемой идентичности рабочих нагрузок. Это означает, что каждый агент имеет криптографически подтвержденную идентичность. Политики доступа оценивают не только «что» запрашивает агент, но и «кто» это делает, а также состояние его среды выполнения. Если идентичность или целостность агента меняются, политики автоматически пересматриваются.

09Что это значит на практике

Внедрение NVIDIA Sentry меняет парадигму разработки и развертывания AI-агентов. Разработчикам больше не нужно писать сложные механизмы самозащиты или полагаться на доверие к среде выполнения. Вместо этого они могут сосредоточиться на логике агентов, делегируя вопросы безопасности инфраструктурному слою.

Для специалистов по кибербезопасности это означает появление нового уровня видимости. Они получают возможность видеть не только сетевые запросы, но и внутреннее состояние процессов, связывая их с политикой доступа. Это снижает количество ложных срабатываний и позволяет быстрее реагировать на реальные угрозы.

В конечном итоге, NVIDIA Sentry демонстрирует, как конвергенция AI, сетевых технологий и аппаратной безопасности может создать надежный фундамент для следующего поколения автономных систем. По мере того как AI-агенты становятся более сложными и независимыми, такие решения, как Sentry, станут не просто опцией, а обязательным требованием для их безопасного использования в бизнес-среде.

Изучайте возможности NVIDIA DOCA, экспериментируйте с микросервисами наблюдаемости и внедряйте инфраструктурное принуждение политик, чтобы обеспечить безопасность ваших AI-инициатив уже сегодня.

Источник: NVIDIA Developer ↗