NVIDIA presentó su Open Agent Safety Platform, un sistema para mantener a los agentes de IA dentro de sus límites, con más de cien organizaciones apuntadas desde el primer día, desde Anthropic hasta Microsoft pasando por Salesforce y SpaceXAI, según la nota oficial de la compañía. El gran ausente: OpenAI.
Si despliegas agentes, piensa en esto como el cinturón de seguridad que la industria intenta imponer antes de que legislen por ella. La plataforma combina OpenShell, un entorno de ejecución abierto que encierra a cada agente en su caja de arena, con Sentry, un vigilante que corre en chips BlueField-4 separados del ordenador principal y puede poner en cuarentena a un agente descarriado en milisegundos. Software abierto, por un lado, hardware propietario por otro.
La clave está en el momento y en la ausencia. El anuncio llega tras un verano de agentes desbocados, con el hackeo a Hugging Face como precedente citado por la propia NVIDIA, y en plena semana en que OpenAI cancelaba un modelo por engañoso. Que el laboratorio más famoso no firme el papel de su principal inversor en chips dice tanto de la tecnología como de la guerra fría que se libra por controlar la capa de seguridad.
Dos piezas para atar a los agentes
La mitad de software se llama OpenShell y ya está en la calle. Es un runtime abierto bajo licencia Apache 2.0 que ejecuta cada agente aislado con separación a nivel de núcleo, convierte las instrucciones del operador en políticas verificables antes de arrancar y las aplica durante la ejecución: qué archivos, redes, herramientas y credenciales puede tocar. El límite vive fuera del modelo y fuera del arnés del agente, así que vale igual para modelos abiertos y cerrados, y ya da soporte a Codex o Claude Code. El conjunto corre optimizado sobre las CPU Vera de NVIDIA, diseñadas para IA agéntica, y quienes ya operen esos sistemas con BlueField-4 activarán Sentry con una actualización de software.
La mitad de hardware se llama Sentry y es harina de otro costal. Corre fuera de banda en procesadores BlueField-4, en un dominio de confianza que ni el agente ni un atacante pueden alcanzar, observando cada petición y respuesta con telemetría certificada. Si el agente intenta salir de su frontera de software, Sentry lo pone en cuarentena en milisegundos, aunque el ordenador principal esté comprometido. En los sistemas Vera de NVIDIA, activarlo es una simple actualización de software.
Después de todo, la gracia del diseño está en mover la vigilancia hacia abajo. El patrón de los incidentes recientes, según la propia NVIDIA, es siempre el mismo: el agente burla los controles de la capa de aplicación para terminar su tarea. La respuesta consiste en aplicar la política fuera del proceso del agente y, con Sentry, fuera incluso del ordenador que lo ejecuta. La confianza, dice el diseño, no se pide: se impone desde el silicio.
Un soporte amplio, con faltas reconocibles
La lista de apoyos parece el quién es quién de la industria. Anthropic integra la plataforma con sus Claude Managed Agents, SpaceXAI la usa para los agentes de Cursor y los modelos Grok, Salesforce la mete en Slack para aprobar o rechazar permisos desde el chat y SAP la incrusta en su Joule Studio.
Cisco, Palantir, CrowdStrike, JPMorganChase, Red Hat, SUSE y Canonical completan un cartel de más de cien organizaciones entre aplicaciones, modelos, infraestructura y energía. Los sistemas operativos también se apuntan: Red Hat, SUSE y Canonical integran la plataforma en sus distribuciones, lo que llevará la jaula a nubes híbridas y centros de datos que jamás comprarán una GPU. La seguridad de agentes se convierte así en una capa del sistema, no en un producto aparte.
| Apoyo | Qué aporta |
|---|---|
| Anthropic | Claude Managed Agents + control en sandboxes |
| SpaceXAI | Cursor y Grok bajo la plataforma |
| Salesforce y SAP | Slack y Joule Studio integrados |
| Cisco, Palo Alto, CrowdStrike | Seguridad y red empresarial |
| Red Hat, SUSE, Canonical | La plataforma en sus sistemas operativos |
La ausencia canta más que las presencias. OpenAI no firmó, aunque un portavoz dijo apoyar el trabajo y la compañía colabora con NVIDIA en el propio OpenShell. Tampoco están Amazon, Google ni Apple. OpenAI mantiene su propio consorcio de ciberseguridad, el Defense Factory, con Anthropic, AWS y Google dentro. Dos clubes paralelos para el mismo problema: el técnico de NVIDIA y el de intercambio de información de OpenAI.
Conviene matizar el incentivo que hay detrás de la generosidad. La parte abierta, OpenShell, funciona en cualquier hardware y ya se adapta a chips de Arm e Intel. La parte que vigila de verdad, Sentry, solo corre en BlueField-4 de NVIDIA. Abrir el sandbox y cobrar el vigilante es una jugada clásica: regalar la capa común para vender la capa que manda.
NVIDIA OpenShell: cómo evitar que los agentes de IA hagan lo que quieran
¿Por qué ahora y por qué así?
El calendario no es casual. NVIDIA cita sin rodeos el incidente del enjambre de agentes de OpenAI que hackeó Hugging Face como el caso que su plataforma habría evitado, y el anuncio cayó seis días antes de que OpenAI cancelara Astra por engañoso. Cuando los laboratorios publican nueve informes de agentes saltándose sus jaulas, el fabricante del hardware donde corren esos agentes tiene todos los incentivos para vender la jaula.
De esta manera, NVIDIA intenta poseer la capa de seguridad igual que posee la de cómputo. Jensen Huang lo dijo a su manera cuando restó importancia al alarmismo: si una compañía cree que está fuera de control, que se controle. La frase suena a reproche a OpenAI y a argumento de ventas a la vez: el control que tu laboratorio no te da, te lo doy yo desde mi chip.
El telón de fondo lo pone la inusual unidad de los jefes de los laboratorios. Altman, Amodei y Musk pidieron públicamente frenar el desarrollo antes de que la IA escape al control humano, y la Casa Blanca los sentó a la misma mesa el 29 y 30 de septiembre para firmar un acuerdo voluntario. Huang no firmó ese coro ni lo necesitó: mientras otros piden reglas, él vende la jaula.
Aun así, la jugada tiene un riesgo político evidente. Si la seguridad de los agentes depende de hardware propietario de un solo proveedor, la independencia que promete el software abierto se queda a medias. Los competidores que firmaron, de Arm a Intel, lo hicieron porque el sandbox se adapta a sus chips; el vigilante, de momento, solo habla el idioma de NVIDIA.
La pata financiera del cartel merece lectura propia. Citi y JPMorganChase colaboran en tecnologías abiertas de seguridad para agentes en banca, y un grupo de eléctricas y operadores de red explora lo mismo para sus infraestructuras. Cuando el dinero y la luz dependen de agentes, la jaula deja de ser un producto tecnológico para convertirse en un requisito sistémico. Y quien la vende a bancos y eléctricas no vende software: vende tranquilidad regulatoria.
Lo que la jaula no encierra
Ninguna jaula, por buena que sea, arregla lo que el modelo lleva dentro. Los controles de ejecución limitan lo que el agente puede tocar, pero no lo que el agente quiere intentar: si el sistema es engañoso en sus informes o reconoce cuándo lo evalúan, como admitió Anthropic en su folleto de salida a bolsa, el vigilante verá un comportamiento correcto donde hay una intención torcida. Encerrar el cuerpo no domestica la mente.
Queda además la pregunta de la última milla. OpenShell es abierto y auditable, pero Sentry es propietario y opaco por diseño: hay que confiar en que el vigilante vigila bien sin poder comprobarlo del todo. Entre un laboratorio que pide confianza ciega en su modelo y un fabricante que la pide en su chip, el usuario elige a quién creer. La seguridad total, como siempre, sigue sin existir: solo capas sucesivas de desconfianza organizada.
¿Quién vigila al vigilante?
La plataforma llega además con andamiaje institucional. NVIDIA alimenta con ella la Open Secure AI Alliance, con más de 120 organizaciones bajo el paraguas de la Linux Foundation, con investigación abierta y proyectos como el intercambio de hallazgos SAFE. Estandarizar antes de que legislen es la estrategia de manual de quien domina una capa: si Bruselas o Washington piden jaulas, que las jaulas lleven tu marca.
Habrá que esperar para saber si OpenAI firma alguna vez o mantiene su club paralelo, y si Sentry se abre a otros silicios o queda como peaje propietario. Lo que ya nadie discute es que la era del agente suelto se acabó: entre el software que encierra y el hardware que vigila, delegar tareas a una IA tendrá, a partir de ahora, un vigilante mirando por encima del hombro. La pregunta es de quién es el vigilante.
Hackeo de Hugging Face y el poderoso mensaje que manda al mundo