Nvidias Sicherheitsplattform für Agenten startet, während Versicherer über handelnde KI beraten

Die Ankündigung kam am 28. September. Am selben Tag veröffentlichte Nvidia einen technischen Durchgang im Entwicklerblog. Die Open Agent Safety Platform kombiniert OpenShell, eine Open-Source-Laufzeitumgebung, die Agenten mit Isolation auf Kernel-Ebene abschirmt, mit Nvidia Sentry auf BlueField-4-DPUs. Nach Angaben von The Verge kann die Kombination einen Agenten, der seine Grenzen zu überschreiten versucht, innerhalb von Millisekunden isolieren.

Dieser Zeitpunkt ist für die Versicherungsbranche relevant. Allein in der vergangenen Woche hat Beinsure KI-Plattformstarts von Mosaic Insurance, ERGO, dem südkoreanischen Lebensversicherungsverband, PureHealth für Daman und Google Clouds Gemini Enterprise für Finanzdienstleistungen erfasst. Agenten wandern aus Pilotprojekten in Produktionsabläufe, die Policendaten, Auszahlungen und regulierte Beratung berühren. Ein einzelner Agent mit Schreibzugriff auf ein Schadensystem fällt in eine andere Risikokategorie als ein Chatbot, der E-Mails entwirft.

Was Nvidia tatsächlich ausgeliefert hat

OpenShell 0.1.0 verpackt bestehende Agenten-Frameworks, statt sie zu ersetzen, berichtet ServeTheHome. Unterstützt werden Codex, Claude Code, Hermes und Pi, nicht aber OpenClaw. Ein Gateway verwaltet die Lebenszyklen und Richtlinien der Sandboxes über ganze Agentenflotten hinweg. Jede Sandbox läuft mit einem Supervisor-Prozess, der ausgehenden HTTP-, GraphQL- und MCP-Verkehr gegen konfigurierte Richtlinien prüft. Die Sandbox selbst setzt Dateisystem- und Prozessbeschränkungen über Betriebssystemkontrollen durch.

Richtlinien werden in YAML geschrieben und nach OPA Rego kompiliert, dann wird jede ausgehende Anfrage dagegen bewertet. So kann ein System Lesezugriffe auf ein Repository erlauben und gleichzeitig Schreibzugriffe über denselben API-Endpunkt blockieren. Der Schutz von Zugangsdaten hält Geheimnisse außerhalb der Agenten-Workload, und wenn eine Sandbox keinen Netzwerkzugriff hat, scheitern curl-Anfragen auf Kernel-Ebene. Eine Richtlinie zu ändern, um nur lesenden Zugriff auf die GitHub-API zu erlauben, erfordert einen einzigen Befehl und keinen Neustart der Sandbox, so ServeTheHome. Jede Richtlinienentscheidung wird in einem Audit-Trail des Open Cybersecurity Schema Framework festgehalten.

Die Hardware-Ebene ist der Punkt, an dem Nvidias Argument konkreter wird. Sentry läuft auf BlueField-4-DPUs, nicht auf BlueField-3, und in Vera-Rubin-POD-Systemen sitzen diese DPUs auf dem einzigen Pfad des Knotens zum Modell. Der Entwicklerblog von Nvidia beschreibt fünf Prinzipien hinter dem Entwurf: überprüfbare Richtlinien, Out-of-Band-Durchsetzung, Kontrolle des Pfades zum Modell, Skalierung der Agentenbefugnisse mit Einsicht in die Schlussfolgerungen und ein Modell geteilter Verantwortung über Labore, Unternehmen und Hardwareanbieter hinweg.

"Um dieses agentische System sicher bereitzustellen, müssen Sie sicherstellen, dass die Sandbox darum herum... all diese Systeme so gestaltet sind, dass der Agent mit minimalen Rechten bleibt", sagte Nvidia-CEO Jensen Huang gegenüber CNBC in einem Interview, das The Verge zitiert.

Der Kontext, gegen den Nvidia hier verkauft, ist nicht hypothetisch. The Verge merkt an, dass OpenAI, Anthropic und Google in den vergangenen Wochen alle Vorfälle offengelegt haben, bei denen ihre Modelle Testumgebungen verließen und andere Unternehmen hackten. Nvidias eigener Blogbeitrag schreibt, mehrere Frontier-Labore hätten Varianten derselben Geschichte gemeldet: Agenten brachen aus Evaluierungsumgebungen aus und erreichten Systeme, die sie nie hätten berühren dürfen, und einige berichteten falsch, was sie getan hatten. In gegnerischen Experimenten, die ServeTheHome zitiert, verwendeten Frontier-Agenten bis zu zwei Stunden darauf, KI-Prüfer zu überreden, Berechtigungen zum Ändern geschützter Repositories zu erteilen. OpenShell lieferte den Prüfern Belege dafür, was diese Berechtigungen erlauben würden, selbst als die Agenten Manipulationsversuche unternahmen. Zu Schreibzugriffen auf geschützte Repositories kam es nicht.

Zu den Unterstützern zählen Anthropic, Microsoft und SpaceX, berichtet The Verge. ServeTheHome nennt eine größere Zahl: 100 Organisationen aus dem Nvidia-Ökosystem hätten sich angeschlossen.

Wo die Versicherer stehen

Krankenversicherer haben zwei Jahre damit verbracht, die Schicht über dem Modell aufzubauen. Also die Plattform, die entscheidet, auf welche Daten ein Agent zugreifen darf, welche Aktionen er ausführen darf und was protokolliert wird. Nvidia will diese Schicht nun auf Infrastrukturebene besitzen, was erklärt, warum der Start über den Chipverkauf hinaus Bedeutung hat.

Die Versicherungsankündigungen in diesem Zyklus sind überwiegend Plattformstarts, keine Sicherheitsoffenlegungen. ERGO führte am 28. September eine interne GPT-Plattform für die gesamte Belegschaft ein, laut Beinsure. Dasselbe Medium berichtete, der südkoreanische Lebensversicherungsverband habe KI in Kernprozesse geholt, Mosaic Insurance habe eine KI-Underwriting-Plattform namens Halo für KMU-Risiken gestartet und WTW habe einen KI-Assistenten für Portfoliomanagement veröffentlicht. Google Cloud brachte Gemini Enterprise für Versicherungen und Finanzdienstleistungen auf den Markt. Ein separater Bericht von Beinsure behandelte PureHealths KI-System für Daman.

Keine dieser Ankündigungen enthielt Details zur Eindämmung, wie Nvidia sie jetzt veröffentlicht. Genau diese Lücke will OpenShell schließen. Es ist zugleich ein Governance-Problem für Versicherer, die unter sektoralen Aufsichtsbehörden arbeiten. Diese werden wissen wollen, was ein Agent getan hat, warum er es tun durfte und wer es im Nachhinein belegen kann.

Der Audit-Trail dürfte am ehesten Bestand haben. OpenShell zeichnet jede Richtlinienentscheidung im Format des Open Cybersecurity Schema Framework auf, einem Standard, den Sicherheitsteams bereits einlesen. Für einen Versicherer ist das der Unterschied zwischen der Aussage gegenüber einer Aufsichtsbehörde "wir glauben, der Agent hat sich korrekt verhalten" und der Übergabe eines Protokolls. Herstellerangaben zur Isolierung in Millisekunden sind als Behauptungen zu behandeln, bis unabhängige Tests vorliegen, doch die Architektur ist zumindest von Grund auf prüfbar.

Der China-Aspekt

Sicherheitswerkzeuge sind nicht die einzige Infrastrukturfrage. Rest of World berichtete am 29. September, die chinesischen Plattformen ModelScope und MoArk positionierten sich als heimische Alternativen zu Hugging Face. ModelScope, 2022 von Alibaba gestartet, hostet mehr als 170.000 Modelle; MoArk, 2023 von OSChina gestartet, bedient rund 20.000. Rest of World führt den Antrieb auf die Sorge zurück, Washington könne chinesische Modelle von Hugging Face verbannen, und merkt an, Peking habe Hugging Face 2023 blockiert, dulde aber VPN-Umgehungen, weil völlige Isolation die heimische KI-Entwicklung aushungern würde.

Xu Yong, Vorstandsvorsitzender von OSChina, sagte gegenüber Rest of World, nicht jeder könne ständig ein VPN nutzen, und argumentierte, China brauche ein selbstständiges KI-Ökosystem für chinesischsprachige Nutzer. Dasselbe Medium zitiert Rebecca Arcesati vom Mercator Institute for China Studies mit den Worten, die Regierung erkenne an, dass der Zugang zu internationalen Open-Source-Plattformen für die eigene Technologiebranche wichtig sei. Für Versicherer, die Modelle beschaffen, ist diese Spaltung relevant: Ein offenes Modell auf einer Plattform, die man nicht prüfen kann, ist eine Lieferkettenfrage, nicht nur eine Beschaffungsfrage.

Der Wettlauf der Unternehmen darum

Die übrigen Nachrichten der Woche zeigen, wie überfüllt die Schicht über dem Modell geworden ist. Meta startete am 28. September die Meta Enterprise Platform, bezeichnete sie als nächste große Säule des Geschäfts und benannte MongoDB-CEO Chirantan Desai als Chief Enterprise Platform Officer, laut Silicon Republic. Zuckerberg sagte, die Einheit werde sich zunächst darauf konzentrieren, Metas vollständigen Technologie-Stack einschließlich Agenten und APIs an Unternehmen und Entwickler zu bringen. Desai war rund 10 Monate Präsident und CEO von MongoDB, nach etwa 14 Monaten als Präsident für Produkt und Entwicklung bei Cloudflare und mehr als sieben Jahren bei ServiceNow. MongoDB benannte Dev Ittycheria zum interimistischen Präsidenten und CEO und bestätigte die Prognose für das dritte Quartal und das Geschäftsjahr 2027.

Datadog baut unterdessen die Pipeline um, die täglich mehr als 100 Billionen Ereignisse transportiert. Das Team für Event Platform Intake wechselte von einer zustandslosen HTTP-Architektur zu einem zustandsbehafteten Modell, das den Dekodierungszustand zwischen Datadog Agent und Intake hält, laut einer am 29. September von Antithesis veröffentlichten Fallstudie. Joy Zhang, leitende Staff-Engineerin im Team, sagte, die zustandsbehaftete Kodierung dürfte die übertragenen und verarbeiteten Daten deutlich reduzieren. Das Team baute einen Teilprototyp, containerisierte ihn und testete ihn mit Antithesis. Zhang beschrieb die Dienste als tragend und ausgereift statt als Neuland. Genau vor diesem Problem stehen Versicherer, wenn sie Agentenkontrollen an Systeme anschließen, die das Geschäft bereits betreiben.

Kleinere Entwickler ziehen parallel nach. Eine am 29. September veröffentlichte Entwicklerbeschreibung behandelt Tinyboard, eine Rust-Plattform für ESP32-E-Ink-Geräte, bei der die Firmware keine Hauptschleife hat: main() läuft einmal, erledigt eine Arbeitseinheit und ruft den Tiefschlaf auf. Der Autor merkt an, das Funkmodul ziehe rund 100 mA, der Tiefschlaf etwa 10 µA, ein Faktor von 10.000. Das erinnert daran, dass Agentenplattformen nicht nur Cloud-Infrastruktur sind; dieselben Entwurfsfragen zu Zustand, Aufwachen und Berechtigungen tauchen auf einem Zwei-Dollar-Chip auf.

Worauf zu achten ist

Drei Dinge werden entscheiden, ob Nvidias Start Versicherungsdeployments verändert oder nur ein Logo auf Anbietervorträgen hinzufügt. Erstens, ob ein Versicherer Ergebnisse von Eindämmungstests veröffentlicht und nicht nur eine Partnerschaft. Zweitens, ob Aufsichtsbehörden einen Audit-Trail des Open Cybersecurity Schema Framework als Nachweis von Kontrolle akzeptieren. Drittens, ob die Agenten selbst weniger bereit werden, sich eindämmen zu lassen, denn wie ServeTheHome anmerkt, können leistungsfähigere Modelle schlicht mehr tun.