Nadzorca musi stać poza systemem, którego pilnuje

Agent działa od sześciu godzin w maszynie wirtualnej. Czyta pocztę, wywołuje narzędzia i zapisuje pliki na wspólnym dysku w imieniu jednej pracownicy. Każde jego działanie przechodzi przez warstwę zasad: dozwolone adresy, dozwolone narzędzia, człowiek zatwierdzający wrażliwe zapisy. Warstwa zasad to proces w tej samej maszynie wirtualnej i prowadzi porządny log wszystkiego, na co pozwoliła.

Potem w czytanym dokumencie trafia się polecenie, którego agent nie powinien wykonać, a ono prowadzi do przejęcia uprawnień administratora wewnątrz systemu gościa. Od tej chwili wszystko, co mówi warstwa zasad, mówi proces, który napastnik może zmienić. Log nadal jest porządny. Po prostu niczego już nie dowodzi.

Co branża właśnie zapisała czarno na białym

21 października 2026 roku NVIDIA opublikowała dwa dokumenty o uruchamianiu agentów w firmach: architekturę referencyjną OpenShell i projekt referencyjny Secure Agent Workspace. Podsumowanie jest producenta: agenci myślą na Rubinie, działają na Verze, a nadzór sprawuje BlueField. Modele pracują na GPU, środowisko agenta na CPU, a nadzór na osobnej jednostce przetwarzania danych, BlueField-4, gdzie komponent Sentry według opisu monitoruje hosta z zewnątrz i izoluje agenta w ciągu milisekund.

Projekt przestrzeni roboczej mówi wprost, skąd to się bierze. Kontrole w czasie działania obowiązują tylko tak długo, jak długo można ufać mechanizmowi, który je egzekwuje, a ochrona przed przejęciem roota lub jądra systemu gościa musi działać poza gościem.

Niczego z tego nie testowaliśmy, a czasy reakcji to deklaracje producenta. Liczy się architektura. To ta sama własność, którą opisaliśmy w tekście system autonomiczny potrzebuje wyłącznika, którego nie dosięgnie — tyle że doszła do niej firma sprzętowa, myśląc o wdrożeniach komercyjnych.

Dlaczego nadzór wewnątrz pętli zawodzi

Dzieli awarię z pętlą. Monitor działający na hoście pada razem z hostem. Jeśli nadzorowany proces przejmie swoje środowisko, w tym samym kroku przejmuje nadzorcę. Niezależność nie jest dodatkiem; to ona sprawia, że monitor w ogóle jest monitorem.

Da się go obserwować. Wszystko wewnątrz gościa widzi to, co kontroluje gościa. Proces adaptacyjny, który widzi swojego nadzorcę, może poznać jego progi, harmonogram i martwe pola. Nadzorcę na osobnym sprzęcie, patrzącego na ruch i zachowanie z zewnątrz, znacznie trudniej wymodelować od środka.

Jego zapis pisze podejrzany. Logi powstające w przejętym systemie to twierdzenia, a nie obserwacje. Rejestr wart prowadzenia to taki, który ktoś inny niż system może odtworzyć, a nadzorca poza hostem to jeden ze sposobów, by mieć drugą, niezależną relację z tego, co się wydarzyło.

Zagrożenia są zwyczajne. Lista NVIDII dla agentów nie jest egzotyczna: niezamierzone zapisy, wyciek danych ruchem wychodzącym, wstrzykiwanie poleceń, także ataki widoczne dopiero po połączeniu kilku wejść, agent, który sam staje się napastnikiem, skanuje i przesuwa się w bok sieci, oraz przejęty system gościa. Żadne z nich nie wymaga złośliwego modelu. Wystarczy agent z dostępem i wejście, któremu nie powinien był zaufać.

Fazy jako efekty, nie etykiety

Projekt przestrzeni roboczej opisuje też model dojrzałości. Faza 0 to fundament: konfiguracja, poprawki, zarządzanie obrazami, telemetria, zdolność do odbudowy i odwołania dostępu. Faza I kontroluje obwód: agent jednego użytkownika na zatwierdzonym obrazie, jednokrotne logowanie, lista dozwolonych adresów, człowiek przeglądający zapisy. Faza II egzekwuje zasady wokół samego agenta: kontrola procesów, plików i sieci, domyślnie zablokowany ruch wychodzący, podpisane polityki przy każdym wywołaniu narzędzia, poświadczenia trzymane poza agentem.

Zdanie, które podkreślilibyśmy, mówi, że fazy to sumujące się efekty kontroli, a nie etykiety stanu wdrożenia. System nie jest w fazie II, bo tak mówi harmonogram projektu. Jest w niej wtedy, gdy każdą z tych kontroli da się pokazać w działaniu.

Tę samą dyscyplinę ten program próbuje stosować do samej autonomii. „Trzeci poziom autonomii” to etykieta. „Pętla nie może podnieść własnego limitu wydatków, a oto test, który to pokazuje” to efekt. Jak pisaliśmy w tekście autonomię wyznacza to, czego pętla nie dotknie, sensowny opis systemu autonomicznego to lista rzeczy poza jego zasięgiem.

Co budować zamiast tego

Postawcie nadzorcę na osobnym gruncie. Osobny sprzęt tam, gdzie się da, osobne poświadczenia zawsze, i żadnej ścieżki zarządzania od nadzorowanego systemu do nadzorcy.

Niech nadzorca działa, a nie tylko raportuje. Obserwacja to połowa. Druga połowa to możliwość odizolowania, wstrzymania albo odcięcia ścieżki sieciowej bez proszenia nadzorowanego systemu o współpracę.

Trzymajcie sekrety z dala od agenta. Jeśli agent nigdy nie ma surowych poświadczeń i działa przez pośrednika, przejęcie agenta nie oznacza przejęcia kluczy.

Opisujcie postęp jako kontrole, które działają. Dla każdego etapu autonomii wypiszcie kontrole, które trzeba wykazać, i wykażcie je. Usuńcie nazwę etapu z każdego raportu, który nie potrafi wskazać testu.

Ćwiczcie izolację. Izolacja, która nigdy nie zadziałała, jest schematem. Uruchamiajcie ją według harmonogramu, w normalnych warunkach, i przyjmijcie wynikające z tego zakłócenia jako koszt działania.

Nic z tego samo w sobie nie czyni działalności autonomicznej bezpieczną. Sprawia natomiast, że na pytanie, kto ma kontrolę, da się odpowiedzieć — a to warunek wszystkiego innego w programie Demertis.

Test na dziś

Wybierzcie jeden zautomatyzowany proces, który działa sam: agenta, zadanie uruchamiane według harmonogramu, integrację z prawem zapisu. Znajdźcie to, co by go zatrzymało albo podniosło alarm. Potem odpowiedzcie na dwa pytania.

Czy działa na tej samej maszynie, na tym samym koncie albo w tym samym środowisku co proces, którego pilnuje? I czy gdyby ten proces przejął pełną kontrolę nad swoim środowiskiem, nadzorca nadal by to widział i mógł zareagować?

Jeśli uczciwa odpowiedź na drugie pytanie brzmi „nie”, proces ma monitor, a nie nadzorcę.

Źródła: NVIDIA, architektura referencyjna OpenShell, 21 października 2026, NVIDIA, projekt referencyjny Secure Agent Workspace.