NVIDIA Sentry: o agente não pode ser dono do controle que o fiscaliza

A NVIDIA apresentou o Sentry como framework para monitorar agentes e aplicar políticas de acesso a modelos, ferramentas e dados, com disponibilidade planejada para o início de 2027.[4] A arquitetura combina limites de execução em software, via OpenShell, com proteção em DPUs BlueField-4 separadas do host.[4] Não é um produto já disponível para adoção geral.[4]

O ponto central é uma fronteira de confiança: um agente não deveria conseguir alterar as regras que o contêm ou apagar a evidência das próprias ações. Isso merece atenção mesmo em projetos que nunca terão uma DPU.

O que muda para quem desenvolve

Na referência apresentada, a BlueField ocupa o único caminho de rede entre os agentes, o modelo e o exterior.[4] O DOCA Flow aplica regras de camada 4, enquanto o DOCA Tower, baseado em Envoy, inspeciona tráfego de camada 7; a autorização usa Open Policy Agent e políticas Rego.[4]

O DOCA Argus acrescenta introspecção da memória do host a partir da DPU, sem agente residente no sistema observado.[4] A proposta correlaciona pedidos de acesso a processos, imagens e sinais de integridade do ambiente.[4] Assim, a identidade de quem pede uma ação pode ser avaliada junto das condições em que o pedido é feito.[4]

Minha leitura é que segurança de agentes precisa sair do contrato verbal do prompt. Uma instrução para não enviar segredos deve ser acompanhada de um limite executável fora do alcance do executor.

Como aplicar

Comece por uma ferramenta de baixo risco e coloque sua autorização em um gateway separado do processo do agente. Defina destinos permitidos, operações aceitas e credenciais de escopo restrito. Mantenha o registro de decisões em um local que o executor não possa alterar.

Em homologação, proponha três testes: chamada a destino não autorizado, tentativa de acesso a operação sem permissão e tentativa de remover o registro da própria execução. O resultado esperado deve estar documentado antes do teste. Uma recusa textual do modelo não basta como evidência de bloqueio.

Depois, investigue caminhos alternativos: acesso direto à rede, ferramenta auxiliar com permissão excessiva e credencial herdada. O desenho só faz sentido se a política cobrir o caminho que a ação realmente percorre.

Cuidados e limites

A NVIDIA descreve inspeção TLS nas conexões configuradas para isso e contenção em hardware que pode ocorrer em milissegundos.[4] São capacidades e afirmações do fornecedor, não demonstração de detecção perfeita de qualquer desvio.[4]

A proposta exige infraestrutura específica e também contempla análise fora de banda, que pode acionar resposta depois da ação.[4] Portanto, diferencie prevenção de detecção posterior ao definir requisitos. Não há justificativa para comprar hardware pelo anúncio. Primeiro demonstre o risco, os controles necessários e a incapacidade de atendê-los com uma solução mais simples.

Fonte

[4] Fonte: NVIDIA Technical Blog