NVIDIA OpenShell（オープンシェル）は、NVIDIAが2026年10月21日に公開した、AIエージェントがアクセスできるシステムやデータをエージェントの外側で定義・強制するオープンソースのランタイムです。サンドボックスでの隔離実行、送信リクエストのポリシー検査、認証情報の保護、ポリシーの形式的検証までを担い、既存のエージェントを書き換えずに導入できる点が特徴です。
室谷代表取締役NVIDIAがAIエージェント向けのオープンランタイム「OpenShell」を出してきたんですよね。これは単なる新製品というより、エージェントのセキュリティをどこに置くかという設計思想の話で、けっこう本質なんですよ。
テキトー教師DotAI 認定講師そうなんですよ。公式ブログの言葉を借りれば「エージェントは自己統治できない」わけで、セキュリティとガバナンスはエージェントが動くインフラ側に置くべきだ、という前提なんです。
講座でもエージェントに権限を渡す話は必ず出るんですが、渡しっぱなしは危ないよね、という結論になるんです。
講座でもエージェントに権限を渡す話は必ず出るんですが、渡しっぱなしは危ないよね、という結論になるんです。
NVIDIA OpenShellとは？何が発表されたのか
NVIDIA OpenShellの発表内容
OpenShell Reference Architecture
ソフトウェアのOpenShellと、ハードウェアのVera CPU・BlueField-4 DPUを組み合わせたリファレンス設計
OpenShell単体
オープンソースのランタイム。バージョン0.1.0が公開
権限強制の考え方
エージェントの内側のプロンプトではなく、外側のインフラで権限を強制する
Open Agent Safety Platform
より大きなプラットフォームのランタイム層をOpenShellが担う
3本柱の構成
Vera Rubinプラットフォーム(LLMが動く場所)、OpenShell、BlueField-4上のNVIDIA Sentry
室谷代表取締役まず発表の中身を整理すると、NVIDIAが公開したのは「OpenShell Reference Architecture」というリファレンス設計で、ソフトウェアのOpenShellと、ハードウェアのVera CPU・BlueField-4 DPUを組み合わせた構成なんですよね。
テキトー教師DotAI 認定講師公式スレッドでも「AIエージェントは高速なツール呼び出しと、書き換えできないセキュリティ制御を必要とする」と書かれていて、そこに応えるのがこの構成なんです。OpenShell単体はオープンソースのランタイムで、バージョン0.1.0が公開されています。
室谷代表取締役ここで大事なのは、OpenShellが「エージェントの外側」で権限を強制するツールだという点なんですよ。エージェントに目標を渡すと、コードを書き、ツールを呼び、外部サービスに触りながら何時間も動くわけですが、その行動経路は実行中に動的に決まる。
だから内側のプロンプトで縛るのではなく、外側のインフラで縛るという発想なんです。
だから内側のプロンプトで縛るのではなく、外側のインフラで縛るという発想なんです。
テキトー教師DotAI 認定講師発表の全体像としては、OpenShellがより大きな「NVIDIA Open Agent Safety Platform」のランタイム層を担う、という位置づけも公式ブログで示されています。アプリケーション層・ランタイム層・インフラ層にまたがって保護を広げる構想の、実行部分がOpenShellということですね。
室谷代表取締役ちなみにOpenShellは単体でも使えるんですが、リファレンスアーキテクチャとしてはVera Rubinプラットフォーム（LLMが動く場所）と、OpenShell、そしてBlueField-4上のNVIDIA Sentryが3本柱として整理されています。この3層構造を頭に入れておくと、あとの話がすっと入るんですよね。
OpenShellでできること——エージェントを“外側”から統制する4つの仕組み
OpenShellを構成する4つのコンポーネント
Gateway
サンドボックスのライフサイクルとポリシーを管理するコントロールプレーン
Supervisor
送信リクエストをポリシーと照合し、認証情報へのアクセスを仲介。サンドボックスとは完全に別の場所で動く
Sandbox
エージェントのワークロードを隔離し、ファイルシステムとプロセスへのアクセスを制限する
Policy prover
ポリシーが付与する権限が、組織が定めた上限内に収まっているかを形式的に検証する
室谷代表取締役OpenShellの中身は4つのコンポーネントに分かれているんですよ。ここが実務で一番効いてくる部分なので、丁寧に見ていきたいんですよね。
テキトー教師DotAI 認定講師整理するとこうです。
- Gateway: サンドボックスのライフサイクルとポリシーを管理するコントロールプレーン
- Supervisor: 送信リクエストをポリシーと照合し、認証情報へのアクセスを仲介する。サンドボックスとは完全に別の場所で動く
- Sandbox: エージェントのワークロードを隔離し、ファイルシステムとプロセスへのアクセスを制限する
- Policy prover: ポリシーが付与する権限が、組織が定めた上限内に収まっているかを形式的に検証する
室谷代表取締役このうちSupervisorがサンドボックスの外で動く、というのがミソなんですよね。エージェントが自分で監督者を書き換えられない構造になっているわけです。
MYUUUでもエージェントに外部APIを叩かせる場面は多いんですが、認証情報をエージェント側に置かないで済むのは大きいなと。
MYUUUでもエージェントに外部APIを叩かせる場面は多いんですが、認証情報をエージェント側に置かないで済むのは大きいなと。
テキトー教師DotAI 認定講師公式ブログでは、サンドボックスがOSカーネルの制御を使って、読み書きできるファイルを制限し、追加のシステム権限を取れないようにすると説明されています。ネットワークも単に「サービスへの接続を許可」ではなく、HTTP・GraphQL・MCPのトラフィックをSupervisorが検査して、同じAPIでもデータの読み取りは通し、書き込みはブロックできる。
粒度が細かいんですよ。
粒度が細かいんですよ。
室谷代表取締役しかもエージェントがシェルを起動しても、生成したコードを走らせても、子プロセスを立ち上げても、サブエージェントに委譲しようとしても、この制御は維持されるんですよね。ポリシー判断はOCSF（Open Cybersecurity Schema Framework）の監査証跡として記録される。
ブロック時にはエージェントが次の行動を判断できるよう、説明的なエラーを返せるのも実運用ではありがたいところです。
ブロック時にはエージェントが次の行動を判断できるよう、説明的なエラーを返せるのも実運用ではありがたいところです。
テキトー教師DotAI 認定講師ポリシーはYAMLで書いてOPA/Regoにコンパイルされ、送信リクエストごとに評価される仕組みです。ここはコードとして管理する話なので、プロンプトインジェクションで突破される類のものではないのがポイントですね。
室谷代表取締役あと地味にすごいのが、認証情報の扱いなんですよ。実際の認証情報はエージェントのワークロードの外に置かれ、認可されたリクエストにだけ束縛される。
エージェントがプレースホルダを許可されていない宛先に送れば、OpenShellが拒否する。認可されていないサービスには認証情報が出ていかない構造なんですよね。
エージェントがプレースホルダを許可されていない宛先に送れば、OpenShellが拒否する。認可されていないサービスには認証情報が出ていかない構造なんですよね。
テキトー教師DotAI 認定講師ポリシープルーバーも見逃せないです。ポリシーが一見制限的に見えても、別のツールや生成コードから同じ書き込みができてしまうことがある。
それを形式的論理でチェックして、境界を越える具体的なアクションを特定してくれる。エージェントの説明ではこの結果は変えられない、というのが重要な点です。
それを形式的論理でチェックして、境界を越える具体的なアクションを特定してくれる。エージェントの説明ではこの結果は変えられない、というのが重要な点です。
室谷代表取締役公式ブログには、フロンティアエージェントが保護されたGitHubリポジトリを変更する権限を得ようと、最大2時間AIレビュアーを説得しようとした実験の話も出てきます。そこでポリシーの形式的分析が、その権限が何を許すかの証拠をレビュアーに渡した、と。
プロンプトで攻められても、外側の形式的な検証は動じないという実例なんですよね。
プロンプトで攻められても、外側の形式的な検証は動じないという実例なんですよね。
OpenShellの使い方・始め方——既存エージェントを書き換えずに導入できるか
既存エージェントを書き換えずにOpenShellを導入する流れ
- 01OpenShell 0.1.0を立ち上げるインストールガイドに従って導入
- 02ポリシーファイルを用意する例: ネットワークを一切許可しないポリシー
- 03サンドボックスを作成するcurlで外部APIを叩いても失敗し、ログでブロック理由を確認できる
- 04ポリシーを差し替える読み取り専用に変更するとGETは通りPOSTはブロック。再起動不要
- 05拒否リクエストをレビューするオペレーターかAIの承認者が確認。ポリシーアドバイザーは既定で人のレビュー待ちのまま保留
- 06承認後に新ルールを反映する稼働中のサンドボックスに読み込まれ作業を再開
室谷代表取締役ここが実務者として一番知りたいところなんですが、既存のエージェントを書き換えずに導入できるのか。結論から言うと、できる、というのが公式の説明なんですよ。
テキトー教師DotAI 認定講師公式ブログのチュートリアルでは、既存のAIエージェントの周りに、書き換えずに実行時の制御を置く手順が紹介されています。API操作を制限し、認証情報を保護し、権限変更をエージェントのワークロードの外でレビューできる、と。
室谷代表取締役具体的な流れも載っていて、まずインストールガイドに従ってOpenShell 0.1.0を立ち上げ、ポリシーファイルを用意してサンドボックスを作る。たとえばネットワークを一切許可しないポリシーでサンドボックスを作れば、curlで外部APIを叩いても失敗する。
ログを見れば、どのプログラムが何を理由にブロックされたかが分かるわけです。
ログを見れば、どのプログラムが何を理由にブロックされたかが分かるわけです。
テキトー教師DotAI 認定講師そこから読み取り専用のポリシーに差し替えると、同じcurlでもGETは通り、POSTはブロックされる。しかもサンドボックスを再起動せずにポリシーを差し替えられるのが実用的ですよね。
室谷代表取締役運用中の権限変更も考えられていて、エージェントがタスク開始時には知らなかったサービスが必要になった場合、ポリシーが拒否したリクエストは記録され、オペレーターかAIの承認者がレビューできる。ポリシーアドバイザーを有効にすると、エージェントが狭くスコープした変更を提案できるんですが、既定では人のレビュー待ちのまま保留され、エージェント自身は承認できないんですよね。
承認後に新しいルールが稼働中のサンドボックスに読み込まれ、作業を再開できる。
承認後に新しいルールが稼働中のサンドボックスに読み込まれ、作業を再開できる。
テキトー教師DotAI 認定講師ただし注意点もあって、ファイルシステムとプロセスの制限はサンドボックス起動時に確定するので、それを変えるには新しいサンドボックスが必要です。あと、ポリシーアドバイザーは設定で明示的に有効化する必要があります。
室谷代表取締役開発の入り口としては、まずローカルのサンドボックスでアプリを作りながら権限を定義して、複数ユーザーに提供する段階でワークスペースとアクセスのガイドに従い、SDKでサンドボックスを作成・管理する流れが示されています。コンピュートドライバはDocker、Podman、MicroVM、Kubernetesに対応していて、対応マトリクスが公開されているんですよね。
テキトー教師DotAI 認定講師既存のエージェント開発環境に組み込む話でいうと、Claude Codeのようなツールを業務で使う際の管理体制は気になるところです。そうした組織導入の考え方はClaude Code法人・組織導入完全ガイド【2026年最新】：Teamプラン・Enterprise・料金・セキュリティ・管理設定を徹底解説でも詳しく解説しているので、あわせて読むと整理しやすいと思います。
室谷代表取締役OpenShellが対応するフレームワークとして公式に挙げられているのはCodex、Claude Code、Pi、Hermesです。ハーネスに依存しない設計なので、特定のエージェント製品に縛られないのがいいところなんですよね。
Vera CPUとBlueField-4が支える実行基盤——なぜCPUとハードウェア隔離が要るのか
室谷代表取締役ここからがNVIDIAらしい話で、OpenShellが「何を許すか」を決めるのに対して、Vera CPUが「どれだけ速く実行できるか」を決める、という分担なんですよ。
テキトー教師DotAI 認定講師エージェントは推論して、ツールを呼んで、コードを実行して、データを問い合わせる、という依存関係のあるステップのループで動きます。各ステップは次が始まる前に完了しないといけない。
AIファクトリーはこれを何千も同時に走らせるわけで、CPUへの要求が5つの軸で高まる、と公式ブログは説明しています。
AIファクトリーはこれを何千も同時に走らせるわけで、CPUへの要求が5つの軸で高まる、と公式ブログは説明しています。
室谷代表取締役具体的には、多数のコアと速い単一コア、高帯域のファブリックとメモリ、巨大なI/O、ハードウェアで強制されるセキュリティ、そしてデータセンターの電力枠に収めること。NVIDIAはこれを「max single-threaded CPU at scale」と呼んでいるんですよね。
テキトー教師DotAI 認定講師Veraの仕様も公式に書かれていて、88基のNVIDIA設計Olympusコア、10ワイドのフロントエンド、ニューラル分岐予測、深いアウトオブオーダー実行で、重要なエージェントワークロードにおいてx86比で最大2倍の性能を出すとされています。第2世代Scalable Coherency Fabricでコア間帯域は最大3倍、コア間レイテンシは最大50%低減。
PCIe Gen 6の96レーン、LPDDR5Xで最大1.2TB/sのメモリ帯域、チップレット設計比でロード時メモリレイテンシ最大40%低減、電力あたり性能はx86の2倍、と。
PCIe Gen 6の96レーン、LPDDR5Xで最大1.2TB/sのメモリ帯域、チップレット設計比でロード時メモリレイテンシ最大40%低減、電力あたり性能はx86の2倍、と。
室谷代表取締役数値は公式の主張として押さえておくとして、実運用の観点で効くのはサンドボックスの起動密度なんですよね。CoreWeaveがVera上でサンドボックス起動がx86比3倍超、1ラックで11,000超の同時エージェント環境を支えられたと実証した、と公式ブログにあります。
Terminal BenchでもVeraがx86比1.8倍だったという結果が示されています。
Terminal BenchでもVeraがx86比1.8倍だったという結果が示されています。
テキトー教師DotAI 認定講師そしてBlueField-4とNVIDIA Sentryの話です。BlueField-4 DPUはエージェントの届かないハードウェア隔離されたトラストドメインを提供し、Vera上のエージェントとアクセス先モデルの間のI/Oパスに位置します。
SentryはNVIDIA DOCA上に構築されたセキュリティソフトウェアフレームワークで、この独立した領域で動き、エージェントの挙動を継続的に監視するんです。
SentryはNVIDIA DOCA上に構築されたセキュリティソフトウェアフレームワークで、この独立した領域で動き、エージェントの挙動を継続的に監視するんです。
室谷代表取締役Sentryはリクエストとレスポンス、ネットワークやファイルの活動を観測し、アイデンティティと委譲された権限を検証し、ホストメモリの一部を分析して、エージェントの自己申告に頼らずに逸脱を検知するんですよね。脅威やポリシー違反を検知すると、BlueField-4がシリコン上でポリシーを強制し、ミリ秒単位でエージェントを隔離できる。
ソフトウェアの境界に加える任意のハードウェア保護として位置づけられています。
ソフトウェアの境界に加える任意のハードウェア保護として位置づけられています。
テキトー教師DotAI 認定講師なぜCPUとハードウェア隔離が要るのか、という問いへの答えはシンプルで、エージェントが機密性の高い企業データを扱う以上、エージェント同士もホストからも隔離されなければならない。それを性能と電力効率を落とさずに実現する必要がある、ということなんですよ。
料金・提供範囲——オープンソースなのか、日本でいつから使えるのか
室谷代表取締役ここは誤解されやすいところなので、正確に言っておきたいんですよね。OpenShellはオープンソースのランタイムで、バージョン0.1.0が公開されています。
GitHubでコードを確認でき、CNCF Slackの#openshell-devで質問やフィードバックができると公式ブログに書かれています。
GitHubでコードを確認でき、CNCF Slackの#openshell-devで質問やフィードバックができると公式ブログに書かれています。
テキトー教師DotAI 認定講師インストールも公式のインストールガイドとクイックスタートが用意されていて、チュートリアルではインストールスクリプトをバージョン指定で実行する例が示されています。
室谷代表取締役ただ、料金体系や商用サポートの詳細、日本での提供開始時期については、今回の発表資料では明らかにされていません。ここは憶測で書かないほうがいいところなんですよね。
オープンソースとして公開されている以上、入手自体に地域制限があるとは資料には書かれていませんが、サポートやエンタープライズ向けの提供条件は別途確認が必要です。
オープンソースとして公開されている以上、入手自体に地域制限があるとは資料には書かれていませんが、サポートやエンタープライズ向けの提供条件は別途確認が必要です。
テキトー教師DotAI 認定講師受講生さんからも「で、いくらなの？」とよく聞かれるんですが、今回は「ランタイムはオープンソース、ハードウェアはVeraとBlueField-4」という構成だけが公式に示されている、と正確に伝えるのがいいですね。
導入事例と対応フレームワーク——Slack、Cadence、Gecko Robotics、CoreWeaveの実証
室谷代表取締役導入事例がすでに出ているのも、この発表の説得力なんですよね。公式ブログで挙げられているのはこの4社です。
テキトー教師DotAI 認定講師整理するとこうです。
- Cadence: ChipStack Autonomous RTL Design Engineerというチップ設計の取り組みでOpenShellを利用
- Slack: OpenShell上でオンデマンドのエージェントプラットフォームを構築中
- Gecko Robotics: 物理ロボット上で意思決定するエージェントの統制にOpenShellを利用
- CoreWeave: Vera上でサンドボックス起動がx86比3倍超、1ラックで11,000超の同時エージェント環境を実証
室谷代表取締役チップ設計、企業の自動化、物理AIと、用途がばらけているのが面白いんですよね。Gecko Roboticsのように物理デバイスと相互作用するシステムまで統制対象にできる、と公式ブログが明言しているのは、OpenShellの守備範囲の広さを示しています。
テキトー教師DotAI 認定講師対応フレームワークはCodex、Claude Code、Pi、Hermesで、将来のフレームワークにも対応していくとされています。企業アプリケーションからフロンティア研究、ロボティクスやエッジシステムまで、というのが公式の説明です。
室谷代表取締役実際の組み合わせ例も公開されていて、NVIDIA NemoClawとHermes Agentを使った例では、モデルがNVIDIA Nemotron 3 Super、ハーネスがHermes Agent、ランタイムがOpenShellという3層の分担が示されています。OpenShellのサンドボックスが認証情報を管理してHermesにSlackやOutlookのトークンを見せない、ネットワークポリシーで公開インターネットへのアクセスを禁止する、といった構成なんですよね。
テキトー教師DotAI 認定講師ネットワークポリシーがプロンプトではなくコードとして管理される、というのがこの例でも徹底されています。policy.yamlに許可する宛先、ポート、HTTPメソッド、バイナリを宣言する。
許可リストにないホストにエージェントが到達しようとすれば403が返り、エージェントはそれをツールエラーとして扱うわけです。
許可リストにないホストにエージェントが到達しようとすれば403が返り、エージェントはそれをツールエラーとして扱うわけです。
室谷代表取締役拡張性も設計の柱で、Supervisorミドルウェアでネットワーク上の送受信内容を検査・ブロック・変更できるほか、Gatewayインターセプタでゲートウェイ自体を改変せずにデプロイ固有のガバナンスを追加できる。アイデンティティ、認可、データ保護、監査といった仕組みを統合するための強制ポイントが用意されているんですよね。
テキトー教師DotAI 認定講師マルチテナント対応も0.1.0の機能として挙がっていて、共有インフラ上で複数チームや顧客向けに、別々のワークスペース、権限、サービスアクセスでエージェントサービスを運用できるとされています。
よくある質問
室谷代表取締役ここまでの話を踏まえて、よく聞かれそうな点を整理しておきたいんですよね。
テキトー教師DotAI 認定講師まず「OpenShellとは何か」ですが、AIエージェントがアクセスできるシステムやデータを、エージェントの外側で定義・強制するオープンソースのランタイムです。サンドボックス、Supervisor、Gateway、ポリシープルーバーの4要素で構成されます。
室谷代表取締役「既存のエージェントを書き換えずに使えるのか」という点は、公式ブログが書き換えずに実行時の制御を置く手順を示しているので、可能というのが答えです。対応フレームワークとしてCodex、Claude Code、Pi、Hermesが挙げられています。
テキトー教師DotAI 認定講師「セキュリティ機能の具体的な中身は」という問いには、カーネルレベルのファイル・プロセス制限、SupervisorによるHTTP・GraphQL・MCPトラフィックの検査、認証情報をワークロード外に保つ仕組み、ポリシーの形式的検証、OCSFの監査証跡、と答えることができます。
室谷代表取締役「Open Agent Safety Platformとの関係は」については、OpenShellがそのランタイム層を担い、アプリケーション層とインフラ層にまたがる保護を広げる構想の一部、というのが公式の説明です。
テキトー教師DotAI 認定講師「料金は」については、OpenShell 0.1.0がオープンソースとして公開されているという事実までが資料で確認できる範囲です。商用サポートや日本での提供開始時期は、今回の発表では明らかにされていません。
室谷代表取締役「実運用での制限や注意点は」という点では、ファイルシステムとプロセスの制限はサンドボックス起動時に確定し、変更には新しいサンドボックスが必要なこと、ポリシーアドバイザーは明示的な有効化が必要なこと、ポリシー設計そのものをきちんと行う必要があること、が公式に示されています。ポリシーが一見制限的に見えても別経路が残ることがあるため、ポリシープルーバーで検証する、という運用が推奨されているんですよね。
テキトー教師DotAI 認定講師総じて、エージェントに広い権限を渡したいが怖い、という組織にとっては、プロンプトではなくインフラで縛るという選択肢が公式に用意された、というのが今回の発表の意味だと思います。
室谷代表取締役そうなんですよね。エージェントを賢くする話は日々進みますが、その賢さを安全に使えるかは外側の設計で決まる。
OpenShellはその外側をオープンソースで提供した、というところに価値があるんですよ。
OpenShellはその外側をオープンソースで提供した、というところに価値があるんですよ。
