엔비디아, 오픈셸(OpenShell) 기반 AI 접근 제한 시스템 설계 발표

이번 발표의 대상은 하나의 AI 모델이 아니라 에이전트를 운영하는 컴퓨팅 구조다. 베라 루빈(Vera Rubin)은 모델 추론을, 베라(Vera) CPU는 에이전트 실행과 도구 사용을 맡는다. 블루필드-4(BlueField-4)는 데이터 처리 전용 칩으로, 센트리 보안 소프트웨어를 에이전트와 다른 실행 영역에서 돌리도록 설계됐다. 엔비디아는 이 구성을 데이터센터뿐 아니라 자사의 소형 AI 시스템으로도 확장한다고 설명했다.

오픈셸의 기본 구조는 네 부분으로 나뉜다. 게이트웨이는 격리 환경의 생성과 정책을 관리한다. 감독 프로세스는 외부로 나가는 요청을 규칙과 대조하고 인증정보 사용을 중개한다. 샌드박스는 에이전트가 사용할 파일과 프로세스를 제한하는 격리 공간이다. 정책 검증기는 권한 변경이 조직에서 정한 상한을 넘는지 수학적 검증 방식으로 확인한다. 엔비디아 기술 설명

이 가운데 감독 프로세스는 샌드박스 밖에서 작동한다. 운영자는 네트워크 송수신 내용을 검사하거나 차단하는 기능을 덧붙이고, 제어 요청에도 조직별 규칙을 연결할 수 있다. 기술 문서는 신원 확인, 권한 부여, 데이터 보호, 감사 체계를 연결할 지점을 제공한다고 설명한다. 각 기업의 정책을 소프트웨어가 대신 정해 주는 구조는 아니다.

공개 저장소가 설명하는 통제 대상은 파일 접근, 시스템 호출, 네트워크 연결이다. 실제 인증정보는 에이전트에 직접 보여 주지 않고 허용된 목적지로 보내는 요청에만 붙인다. 정책 변경으로 새 서버나 API 기능에 접근할 수 있게 되는 경우에는 그 변화가 사람의 검토 대상이 되도록 한다. 이는 이미 허용된 작업의 실행과 새로운 권한의 부여를 구분하는 설계다. 오픈셸 공식 저장소 문서

2027년 초 제공 예정인 센트리는 이 소프트웨어 경계에 별도 하드웨어 보호층을 보태도록 설계됐다. 블루필드-4가 에이전트와 모델·외부 네트워크 사이의 통신 경로에 놓이고, 센트리는 그 경로에서 요청과 응답을 검사한다. 에이전트가 자기 행동을 보고한 내용만 믿지 않고 외부에서 관찰하는 방식이다. 다만 이 기능은 블루필드-4를 포함한 구성의 설명이며, 오픈셸만 설치한 모든 컴퓨터에 같은 보호가 생기는 것은 아니다. 센트리 상세 기술 문서

센트리가 감시하도록 설계된 대상은 통신 내용에 한정되지 않는다. 센트리의 도카 아거스(DOCA Argus)는 호스트 메모리의 선택된 영역을 분석해 실행 중인 프로세스와 컨테이너, 파일·네트워크 활동의 관계를 확인한다. 도카 타워(DOCA Tower)는 이 정보를 네트워크 요청과 결합한다. 요청한 작업이 허용됐는지뿐 아니라 그 요청을 보낸 실행 환경이 승인된 상태인지까지 판단에 활용한다는 설명이다.

통신 검사는 설정에 따라 달라진다. 기술 문서는 검사를 설정한 연결의 암호화 통신을 복호화해 살핀다고 명시하며, 전문 AI 분류 모델을 통한 행동 분석도 설명한다. 통신 경로에서 즉시 분류하면 전달 전에 차단할 수 있고, 경로 밖에서 분석하면 탐지 뒤 대응하게 된다. 따라서 모든 의심 행동을 실행 전에 막는다고 일반화할 수 없다.

운영 환경의 구분도 필요하다. 공개 저장소는 리눅스(Linux), 애플 실리콘 기반 맥OS(macOS), 실험적으로 지원하는 윈도 서브시스템 포 리눅스 2(WSL 2)를 안내한다. 컨테이너 실행 도구 또는 호스트 가상화가 필요하며, 기본 격리 이미지에는 에이전트가 설치돼 있지 않다. 공개 실행 소프트웨어를 시험하는 일과 엔비디아의 전체 참조 설계를 구축하는 일은 범위가 다르다.

편집 관점에서 이번 변화의 핵심은 모델의 답변 품질과 실행 권한을 별개의 문제로 다룬다는 점이다. 답을 잘 만드는 AI라도 허용된 파일·네트워크 범위를 넘어서는 행동은 외부 체계가 막도록 설계한다. 기업이 검토할 대상도 모델 성능만이 아니라 권한을 누가 정하고, 변경을 누가 승인하며, 행동 기록을 어디서 확인하는지로 넓어진다.