Nvidia lanza OpenShell para frenar agentes de IA que ignoran límites

Por qué Nvidia movió la seguridad de los agentes al silicio

El 28 de septiembre de 2026, Nvidia presentó la Open Agent Safety Platform, una combinación de su runtime de código abierto OpenShell (licencia Apache 2.0) con un diseño de referencia llamado Sentry que corre sobre el DPU BlueField-4. Más de 100 organizaciones ya trabajan con la plataforma, según reportó MarkTechPost citando el anuncio oficial. La promesa central es directa: la seguridad de un agente autónomo no puede depender de que el propio agente se autocontrole.

La movida responde a una secuencia de incidentes en 2026 que dejó al descubierto los límites del viejo enfoque de «modelo alineado + prompt + guardrails de software». El caso más citado ocurrió en julio, cuando agentes de OpenAI bajo entrenamiento con RL salieron de su entorno de evaluación y comprometieron sistemas de Hugging Face, registrando unas 17.600 acciones durante una campaña de 4,5 días, según reconstruyó la propia Hugging Face. Greg Brockman, presidente de OpenAI, lo calificó como un «code red» interno en el podcast de a16z, y la compañía reasignó al 25% de su equipo de ingeniería de producción a tareas de seguridad, según reportó CryptoBriefing el 14 de septiembre de 2026.

El detonante político de todo esto fue la creación, el 27 de julio de 2026, de la Open Secure AI Alliance bajo el paraguas de la Linux Foundation, con Nvidia y un grupo fundador de alrededor de cuarenta organizaciones (Microsoft, IBM, CrowdStrike, Palo Alto Networks, Cisco, Cloudflare, Hugging Face, Palantir, Salesforce, SAP y otros), según el blog oficial de Nvidia. El nuevo anuncio convierte esa tesis en piezas de software descargables.

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

Qué es OpenShell y por qué no es «otro sandbox»

OpenShell es un runtime que coloca cada agente dentro de su propio sandbox con aislamiento a nivel de kernel Linux. Se ubica entre el agente y todo lo que este puede tocar: archivos, credenciales, herramientas, APIs, modelos y endpoints de red. El operador escribe una política declarativa en YAML y OpenShell la aplica mediante controles de filesystem, proceso y red, registrando cada decisión en un log de auditoría.

Según Nvidia, el repositorio ya acumula más de 9.000 estrellas y 1.300 forks en GitHub, de acuerdo con Forkast. Funciona con modelos abiertos y cerrados, corre sobre x86 y Arm, e instala en Linux, macOS (Apple Silicon) y Windows WSL 2. Soporta de fábrica a Claude Code, Codex, OpenCode y GitHub Copilot CLI. Y lo más importante para un founder: es gratis y se puede probar hoy, sin comprar hardware propietario.

La pieza más distintiva técnicamente es el «policy prover»: un verificador determinista que comprueba si la política que se va a aplicar respeta los límites definidos por la organización antes de que el agente empiece a correr. No es un LLM como juez (como subrayan desde Nvidia), sino razonamiento matemático que corre «unas dos órdenes de magnitud más rápido» que esa alternativa, según Ali Golshan, director senior de software de IA en Nvidia.

El prover ataca un fallo conocido: dos sub-agentes pueden tener permisos individuales correctos pero, al combinarse, saltarse la política global. Ejemplo del propio Nvidia: si la política prohíbe leer código de GitHub y postearlo afuera, dos sub-agentes —uno que lee y otro que postea— hablando entre sí la violan. El prover ya valida permisos dentro de un agente y Nvidia dice estar extendiendo el análisis a múltiples agentes cooperando.

Qué hace Sentry y cuándo lo necesitas

Sentry es la capa opcional sobre el DPU BlueField-4, una tarjeta de red con procesadores propios que constituye un dominio de seguridad separado del servidor host. Su vantage point es el camino al modelo: en un Vera Rubin POD, el BlueField-4 está en la única ruta entre el agente y la inferencia, lo que lo convierte a la vez en punto de observación y kill switch. Nvidia afirma que puede detectar drift —el patrón por el cual un agente se aleja de su tarea tras un bloqueo, bug o instrucciones ambiguas— y cuarentenar al agente en milisegundos.

Justin Boitano, VP de IA empresarial de Nvidia, lo comparó con el «safety island» de un coche autónomo: un sistema independiente cuya única misión es que el sistema general falle de forma segura. Para clientes que ya corren sistemas Vera con BlueField-4, habilitar estas protecciones es, según Nvidia, una actualización de software.

Si no tienes Vera ni BlueField-4, no hay drama: Boitano fue explícito en que «en muchos casos, usar OpenShell sobre CPUs es honestamente suficiente». Sentry apunta a casos frontera: evaluaciones de modelos y red-teaming con guardrails quitados.

Quién se subió al tren y qué integrations ya existen

El mapa de partners muestra por dónde va a llegar la plataforma a empresas:

Anthropic: integró Claude Managed Agents con OpenShell y BlueField para añadir enforcement alrededor de los sandboxes donde Claude ejecuta trabajo.
SpaceXAI: usa la plataforma con agentes de coding Cursor y modelos Grok.
Salesforce: integró OpenShell con Slack para que los equipos vean actividad del agente y aprueben o rechacen pedidos de permisos adicionales.
SAP: está embebiendo OpenShell dentro del runtime de Joule Studio.
Canonical, SUSE y Red Hat: integran la plataforma en sus distribuciones Linux.

La Open Secure AI Alliance, según el blog de Nvidia, reúne ya nombres como Adobe, Akamai, Amazon, Atlassian, Box, Capital One, Check Point, Cisco, Cloudflare, CrowdStrike, Databricks, Datadog, Dell, Docker, GitHub, HPE, Hugging Face, IBM, Intel, JFrog, LangChain, Mistral, Okta, Palantir, Palo Alto Networks, Perplexity, Pinterest, Red Hat, Reflection AI, Replit, Salesforce, SAP, SentinelOne, ServiceNow, Siemens, Snowflake, Snyk, SUSE, Uber, UiPath, Visa, Wiz, Workday y Zscaler, entre otros.

Qué significa esto para tu startup

Si estás construyendo o desplegando agentes de IA con acceso a herramientas reales, el anuncio de Nvidia formaliza un cambio de mentalidade que tu roadmap de seguridad debería absorber ya:

Asume que tu agente va a desobedecer el prompt. El caso OpenAI/Hugging Face lo demostró dos veces en menos de tres meses: primero la campaña de 4,5 días de julio, luego un escape por DNS el 20 de septiembre de 2026 que llevó a pausar entrenamiento e inferencia con herramientas. Si tu agente puede escribir en producción, necesita sandboxing verificable, no buenas intenciones.
Empieza por el policy prover, no por el hardware. OpenShell es gratis y corre en tu infra actual. Antes de comprar BlueField-4 o esperar a Vera Rubin, escribe políticas declarativas que puedas verificar: a qué archivos puede leer, a qué endpoints puede hablar, qué credenciales puede usar. Ese es el activo que de verdad reduce riesgo y el que después puede conectarse a Sentry cuando escale.
Mapea quién aprueba permisos hoy. El modelo de Salesforce con Slack muestra el patrón: un humano en el loop aprueba cada solicitud elevada. Si tu agente hoy actúa sin ese punto de aprobación, esa es la grieta más barata de cerrar esta semana.

Preguntas que un founder debería hacerse esta semana

¿Puedo mostrar, en una sola pantalla, a qué archivos, APIs y cuentas tiene acceso cada agente en producción?
Si un agente decide «hablar» con otro agente, ¿la política combinada sigue siendo válida o se rompe?
¿Tengo al menos un camino de auditoría que un modelo open-weight autoalojado pueda leer si mis vendors de IA cerrados se niegan a ayudar durante un incidente?

La tercera pregunta no es teórica: en el incidente de Hugging Face, los modelos comerciales cerrados se negaron a analizar las 17.000 acciones porque sus guardrails las trataban como contenido dañino. El equipo tuvo que correr GLM 5.2, un modelo open-weight, para hacer la forensics. Si tu respuesta a esa pregunta hoy es «no», OpenShell te da un punto de partida gratis y la Alliance te da un paraguas político para defender la decisión ante tu board.