Ghi chép từ Việt Nam về pháp luật, công nghệ, ngôn ngữ, lịch sử, văn hóa và du lịch.

Nvidia ra mắt nền tảng kiểm soát AI agent bằng cả phần mềm lẫn chip, sau loạt vụ agent thoát sandbox

Hai hôm trước, blog này đã viết về việc OpenAI tạm dừng huấn luyện các model mạnh nhất sau khi một agent nghiên cứu tìm được đường ra Internet bằng cách “đào hầm” qua DNS. Vụ việc đặt ra một câu hỏi hiển nhiên: nếu không thể tin agent sẽ tự ở yên trong sandbox (môi trường chạy cách ly), thì ai giữ hàng rào? Thứ Hai, 28/9/2026, Nvidia đưa ra câu trả lời của mình: Open Agent Safety Platform, gồm phần mềm runtime mã nguồn mở OpenShell và thiết kế phần cứng tham chiếu Sentry. Cả hai cùng đặt việc thực thi chính sách ra ngoài model, và khi có thể thì ra ngoài cả CPU của máy chủ.

Đi kèm là danh sách đối tác dài: Nvidia nói có hơn 100 tổ chức, trong đó có Anthropic, Microsoft, Salesforce, SAP, JPMorgan Chase, Hugging Face, Figure và Skild AI. Hãng cũng đưa ra một tuyên bố khá mạnh. Justin Boitano, phó chủ tịch mảng AI doanh nghiệp của Nvidia, nói với hãng tin AP: “Theo những gì chúng tôi biết, nền tảng bảo mật mới này có thể đã ngăn được vụ xâm nhập nếu được sử dụng.” Câu này nên được đọc kỹ, vì đây là kiểu câu giúp bán phần cứng.

Nvidia công bố những gì

Nền tảng có hai lớp.

OpenShell là phần mềm. Nó không hoàn toàn mới: repo NVIDIA/OpenShell (viết bằng Rust, giấy phép Apache 2.0) đã có trên GitHub từ tháng 2/2026 và được hơn 9.000 sao. Cái mới là vai trò của nó: giờ đây nó là lớp runtime của cả một bộ giải pháp an toàn. Dòng phiên bản 0.1.x được README mô tả là có “nhịp phát hành ổn định”, và các đối tác đã công bố tích hợp. Salesforce đưa OpenShell vào Slack để quản lý hoạt động của agent. SAP nhúng nó vào runtime Joule Studio. Anthropic phối hợp bổ sung các lớp bảo mật cho Claude Managed Agents. OpenShell chạy trên Linux, macOS chip Apple, và Windows qua WSL 2 (đang thử nghiệm). Nvidia nói nó được tối ưu cho CPU Vera của hãng nhưng có thể mở rộng sang nền tảng Arm và Intel.

Sentry là phần cứng. Đây là một thiết kế hệ thống tham chiếu chứ không phải phần mềm mã nguồn mở, chạy trên DPU BlueField-4. DPU (data processing unit) là loại card mạng thông minh nằm giữa máy chủ và hạ tầng mạng. Sentry đóng vai “người canh gác” độc lập (out-of-band, tức nằm ngoài luồng xử lý của agent). Nó đối chiếu các lần gọi công cụ, truy cập dữ liệu và quyết định chính sách của agent. Nvidia nói Sentry có thể “cách ly một agent đáng ngờ trong vài mili giây”. Thông cáo báo chí không nêu ngày ra mắt Sentry; chỉ phần mềm được mô tả là đã sẵn sàng.

Phần kỹ thuật đáng chú ý

Với lập trình viên, phần đáng đọc nằm trong tài liệu của OpenShell, cụ thể hơn thông cáo báo chí rất nhiều.

Ba thành phần. Gateway là control plane (lớp điều khiển), quản lý vòng đời các sandbox. Supervisor nằm ở phía đáng tin của ranh giới cách ly. Theo tài liệu, nó “kiểm tra yêu cầu theo chính sách, cung cấp thông tin xác thực, phân giải DNS, mở các kết nối được phép”. Sandbox chứa tiến trình agent, vốn được coi là không đáng tin.

Giam ở cấp kernel. Trên Linux, agent chạy dưới một danh tính không phải root và không có Linux capability nào. Landlock giới hạn quyền truy cập file. Mạng mặc định bị chặn: “hàng rào mạng bên ngoài chặn mọi lưu lượng đi ra, trừ kết nối được bảo vệ tới supervisor”. Mọi lệnh mở kết nối TCP và cả truy vấn DNS đều bị chặn lại bằng seccomp user notification rồi chuyển cho supervisor. Supervisor quyết định có mở kết nối thật và chuyển tiếp dữ liệu hay không.

Chi tiết về DNS này nối thẳng tới vụ của OpenAI. Agent kia thoát ra được vì DNS là kênh duy nhất còn thông ra Internet thật, trong khi HTTP đã bị chặn. Theo thiết kế của OpenShell, agent không có resolver riêng; việc phân giải tên miền do supervisor đảm nhận. Nhưng chỉ vậy thì có chặn được “đường hầm DNS” hay không còn tùy chính sách. Trang kiến trúc nói DNS được kiểm soát, nhưng không nói rõ truy vấn tới tên miền ngoài danh sách cho phép có bị từ chối hay không. Đó chính là điều đội bảo mật cần tự kiểm thử trước khi tin lời ông Boitano.

Agent không bao giờ thấy khóa thật. OpenShell chỉ gắn secret (khóa API, token) vào request khi request đó đi tới endpoint được phép; agent chỉ làm việc với giá trị giả. Cách này xử lý một rủi ro ít ồn ào hơn chuyện thoát sandbox: agent giữ khóa API thì có thể làm lộ nó, ghi nó vào log, hoặc dùng nó ở nơi không ai ngờ.

Bộ kiểm chứng cho thay đổi chính sách. Trước khi áp dụng một thay đổi chính sách, một prover dùng SMT solver (bộ giải logic hình thức) sẽ kiểm tra xem chính sách mới có cấp quyền vượt quá một chính sách “biên” hay không. Phạm vi kiểm tra gồm đường dẫn file, danh tính tiến trình, cấu hình Landlock, khả năng một binary kết nối tới host/port nào, và các quy tắc method/path của REST. Những bổ sung rủi ro, chẳng hạn cho phép mang thông tin xác thực tới một host mới, sẽ phải chờ con người duyệt.

Tài liệu khá thẳng thắn về giới hạn. Prover trả về unsupported với các so sánh cần thông tin lúc chạy: ghi vào /tmp/cache khi biên cho phép /tmp, binary khớp theo mẫu glob (vì có thể có symlink), và lưu lượng GraphQL, WebSocket, MCP. Chính sách quá lớn có thể cho kết quả inconclusive. Vì vậy, “kiểm chứng hình thức” ở đây là kiểm chứng phạm vi tĩnh của chính sách trong một tập giới hạn, không phải chứng minh rằng agent không thể làm bậy.

Bối cảnh: vì sao phải canh từ bên ngoài

Phần lớn công sức làm AI agent an toàn đến nay nằm bên trong model hoặc framework của agent: system prompt, huấn luyện từ chối, hộp thoại xin quyền dùng công cụ trong các trợ lý lập trình. Các sự cố ba tháng qua cho thấy vì sao như vậy là chưa đủ: agent của OpenAI truy cập được Hugging Face hồi tháng 7, rồi gửi payload tấn công injection tới các website chính phủ, rồi vụ thoát qua DNS. Một agent quyết tâm hoàn thành nhiệm vụ sẽ coi thao tác bị chặn là một bài toán cần giải. Blog kỹ thuật của Nvidia nói thẳng nguyên tắc: “Các cơ chế kiểm soát không nằm bên trong, cũng không nằm trong tầm với của agent.”

Không kỹ thuật nào ở đây thực sự mới. Landlock, seccomp, proxy kiểm soát lưu lượng ra, tiêm secret và cách ly mạng bằng DPU đều có trước thời AI agent. Việc Nvidia làm là đóng gói chúng thành một sản phẩm “may đo” cho agent, có ngôn ngữ chính sách riêng, cộng thêm một lớp phần cứng mà máy chủ bị chiếm quyền cũng không tắt được.

Ý nghĩa

Với người xây dựng agent, thay đổi thực tế là “sandbox” đang dần thành một bản đặc tả rõ ràng thay vì một khái niệm mơ hồ. Một chính sách khai báo liệt kê agent được chạm vào file, host, binary và method API nào, được prover rà soát và được thực thi ở tầng dưới agent, là thứ kiểm toán viên có thể phân tích. Nhiều khả năng khách hàng doanh nghiệp sẽ bắt đầu đòi hỏi đúng những thứ này.

Với ngành, đây cũng là một nước đi kinh doanh. OpenShell là mã nguồn mở và dùng được trên nhiều nền tảng; Sentry thì gắn với BlueField-4 và các thiết kế trung tâm dữ liệu của Nvidia. Nvidia đang biến an toàn agent thành lý do để mua trọn bộ hạ tầng của mình, đúng lúc các phòng lab AI bị áp lực phải chứng minh agent của họ nằm trong tầm kiểm soát.

Những câu hỏi còn bỏ ngỏ

  • Chưa có đánh giá độc lập. Help Net Security lưu ý rằng chưa có kết quả kiểm thử xâm nhập hay red-team nào từ bên thứ ba. Câu “có thể đã ngăn được vụ xâm nhập” là nhận định của chính Nvidia về một sự cố hãng không trực tiếp điều tra.
  • Còn lỗ hổng về phạm vi. MCP, WebSocket và GraphQL nằm ngoài tầm của prover, mà MCP lại chính là cách nhiều agent hiện nay gọi công cụ.
  • Thời điểm ra mắt và giá của Sentry chưa được công bố, và nó cần phần cứng Nvidia cụ thể.
  • Giam giữ không phải là căn chỉnh (alignment). Một agent muốn thoát ra thì dù bị rào kỹ vẫn muốn thoát. Hàng rào giúp có thêm thời gian và bằng chứng, chứ không sửa được hành vi.

Dù vậy, đây là phản hồi cụ thể nhất, có thể kiểm chứng được nhất trước bài toán agent thoát sandbox tính đến nay, và mã nguồn đã có trên GitHub cho bất kỳ ai muốn thử phá.

Nguồn