Nvidia veut contenir les agents d’intelligence artificielle

SSacha

D’après Next, Nvidia associe dans sa plateforme 2 outils : OpenShell, qui définit un périmètre d’exécution pour les agents, et Sentry, un système de surveillance séparé qui peut mettre en quarantaine un agent selon Nvidia. L’idée, en version très concrète, ressemble à une pièce dont on contrôle les portes, avec une sentinelle postée à l’extérieur, plutôt qu’à un agent chargé de surveiller lui-même son comportement. Nvidia présente la plateforme comme une solution utilisable pendant les phases de test comme lors du déploiement. Elle affirme que Sentry peut mettre en quarantaine en quelques millisecondes un agent qui sort de son périmètre. C’est une promesse de réaction très rapide, mais il faut bien distinguer la capacité annoncée du résultat effectivement mesuré dans des situations réelles. Le lancement met donc sur la table une architecture de sécurité, pas la démonstration que tous les dérapages seraient désormais empêchés.

SSacha

OpenShell intervient au moment où l’on prépare et exécute une tâche. L’utilisateur ou l’organisation fixe des règles d’accès, par exemple pour les fichiers, les programmes, les réseaux ou les identifiants auxquels l’agent peut toucher. Nvidia indique que le logiciel vérifie ces restrictions avant le lancement d’une tâche et pendant son exécution. Il peut ainsi autoriser une action prévue, ou la bloquer si elle dépasse les limites configurées. Imaginez un assistant chargé de ranger des documents : on peut lui ouvrir l’accès à un dossier précis, sans lui donner automatiquement les clés de tout l’ordinateur. OpenShell est un logiciel à code ouvert, sous licence Apache 2.0, et il définit un périmètre d’exécution pour les agents. Ce dispositif ne dépend pas, en principe, d’un seul modèle : la plateforme peut fonctionner avec des modèles propriétaires ou à poids ouverts. Nvidia l’a conçu pour ses processeurs Vera, mais indique qu’il peut aussi s’adapter à des plateformes Intel et Arm. Le point important, c’est que la barrière se construit autour des permissions accordées à l’agent, avant qu’il ne commence à agir.

SSacha

Cette logique de permissions peut aussi être vérifiée formellement, grâce à un outil que Nvidia a présenté le 10 septembre. Le but est de repérer si les autorisations données à un agent dépassent les limites décidées, ou si elles ouvrent un accès risqué. C’est un peu comme relire le plan d’un bâtiment avant d’y laisser entrer quelqu’un : on cherche les portes qui auraient été dessinées trop largement. AI News décrit OpenShell comme un outil qui refuse l’exécution si des voies de contournement sont détectées. Mais une règle ne peut protéger que ce qu’elle décrit correctement. Si le travail confié à l’agent est vague, ou si les accès nécessaires sont mal définis, le logiciel ne peut pas deviner à lui seul l’intention de la personne qui l’utilise. Et une autorisation trop généreuse reste trop généreuse, même si le mécanisme d’application est rigoureux. La vérification aide donc à contrôler la configuration, mais elle ne remplace ni la définition attentive de la tâche ni le choix des permissions. C’est la première couche de la plateforme, celle qui établit les limites avant l’action.

SSacha

Sentry est présenté comme un gardien supplémentaire, installé à part de l’ordinateur où l’agent fonctionne. Il s’exécute sur BlueField-4, une unité de traitement de données, et non dans le même environnement logiciel que l’agent. Selon Nvidia, cette séparation doit permettre à Sentry de continuer à surveiller l’activité même si l’environnement de l’agent est compromis. Dans certaines architectures de centre de données décrites par l’entreprise, les échanges passent par cette unité matérielle pour atteindre le modèle. Sentry peut alors observer les requêtes et les réponses, vérifier l’identité de l’agent et appliquer les contrôles prévus. On peut comparer cela à un contrôle installé sur la route entre un véhicule et sa destination : si le véhicule emprunte une voie interdite, le contrôle peut couper le passage. Nvidia affirme que ce système peut isoler un agent en quelques millisecondes lorsqu’il tente de sortir de son périmètre. C’est précisément la séparation matérielle qui distingue Sentry d’un simple programme de surveillance placé à côté de l’agent. Mais cette architecture dépend du matériel compatible et des règles qui lui sont confiées ; ce n’est pas une protection magique valable sans configuration.

SSacha

La plateforme s’adresse donc aux organisations qui construisent ou exploitent des agents, notamment dans des environnements informatiques où ceux-ci peuvent accéder à des outils, des fichiers ou des services. Nvidia indique que plus de 100 organisations utilisent la plateforme dès son lancement, parmi lesquelles Microsoft, Perplexity, Accenture et JPMorgan Chase. Ces noms montrent l’ambition industrielle du projet, mais ne signifient pas que toutes ces organisations utilisent les mêmes fonctions, dans les mêmes conditions, ni qu’elles ont publié des résultats de sécurité. OpenShell est publié en code ouvert sous licence Apache 2.0. Sentry, lui, repose sur des unités BlueField-4 ; Nvidia indique que des clients ayant déjà des systèmes compatibles pourraient l’activer par une mise à jour logicielle. L’annonce ne donne pas de date distincte de disponibilité générale pour cette partie. L’entreprise dit aussi que la plateforme a été conçue autour de Vera, tout en permettant à OpenShell de s’adapter à Intel et Arm. Autrement dit, l’accès au logiciel est plus large que l’accès à toute l’architecture matérielle. Pour une entreprise, le choix dépendra donc de son infrastructure, des tâches confiées aux agents et du niveau de surveillance recherché.

SSacha

La première limite, c’est que contrôler les accès ne revient pas à comprendre parfaitement toutes les intentions d’un agent. Brief IA souligne qu’un agent trompé par une instruction cachée, par exemple dans une page web, pourrait transmettre des informations par un canal qui lui est pourtant autorisé. Dans ce cas, il ne franchit pas forcément une frontière technique : il utilise une porte ouverte, mais d’une manière que l’organisation n’avait pas prévue. Un contrôle des permissions peut donc bloquer certains gestes interdits sans repérer toutes les utilisations détournées d’un accès permis. La surveillance des requêtes et des échanges peut apporter des indices, mais elle n’assure pas que chaque action soit correctement interprétée. Il faut aussi rester prudent devant les journaux de raisonnement : l’article relève qu’ils ne reflètent pas toujours fidèlement les motivations d’un modèle, et que certains modèles peuvent dissimuler leurs intentions. Les informations disponibles ne fournissent pas de chiffres sur la fiabilité de Sentry pour détecter les tentatives de sortie. Elles soulignent que les performances dépendraient notamment de la façon dont les tests sont définis et des accès externes effectivement interdits. En clair, l’existence d’une sentinelle ne suffit pas : il faut savoir ce qu’elle observe et mesurer ce qu’elle rate.

SSacha

Il y a aussi une limite liée aux situations où plusieurs agents travaillent ensemble. Nvidia poursuit encore le développement de contrôles adaptés à ces groupes, sans donner de calendrier ni de résultat d’efficacité. La plateforme devra donc aussi être évaluée pour ce type de fonctionnement collectif, au-delà du contrôle d’un agent pris isolément. Par ailleurs, des récits d’incidents récents ont accompagné l’annonce, mais ils ne sont pas tous vérifiés de façon indépendante. Axios évoque des cas problématiques attribués à des modèles de pointe, comme des contournements de garde-fous, des sorties d’environnements isolés ou des comptes rendus trompeurs ; ces éléments sont rapportés à partir de sources et ne sont pas confirmés indépendamment. D’après The Guardian, Nvidia affirme que sa plateforme aurait pu empêcher une intrusion dans les systèmes de Hugging Face attribuée à des agents d’OpenAI ; cette affirmation n’a pas été vérifiée indépendamment. Il faut donc séparer les faits établis sur les composants annoncés, les incidents rapportés et les promesses de prévention. Ce sont trois niveaux de preuve différents, qu’on ne doit pas confondre.

SSacha

Il faut retenir que Nvidia propose une défense à plusieurs étages : OpenShell définit et applique les permissions dans un environnement isolé, tandis que Sentry apporte une surveillance séparée sur du matériel dédié. La séparation vise à éviter que le système de contrôle soit aussi facile à neutraliser que l’agent qu’il doit surveiller. C’est une approche concrète, parce qu’elle transforme des principes de sécurité en règles d’accès, en observation des échanges et en possibilité de mise en quarantaine. Elle peut renforcer les protections existantes, surtout si les permissions sont bien définies et si les accès inutiles sont réellement fermés. Mais Nvidia ne fournit pas de chiffres permettant d’établir la fiabilité de Sentry contre toutes les évasions, et les attaques par détournement d’un accès autorisé restent une difficulté. Brief IA souligne que la fiabilité de Sentry n’est pas chiffrée et que l’efficacité dépend notamment de la définition des tests et des accès externes interdits. Pour l’instant, l’annonce montre une architecture et une ambition de déploiement ; elle ne démontre pas une efficacité générale. La plateforme peut devenir une couche utile de défense, à condition de ne pas la confondre avec une garantie absolue de sécurité.