Architektur

Der Agenten-Produktionsstack ist ausgeliefert: im Inneren der NVIDIA-Referenzarchitektur der GTC Berlin

Von IdeaBosque EngineeringZuletzt aktualisiert: 2026年10月21日

Kernaussagen

NVIDIAs GTC-Berlin-Keynote definierte einen Agenten als fünf Teile — Modell, Harness, Sandbox, Wissen, Tools — und lieferte eine Referenzarchitektur, die alle fünf abdeckt statt einer einzelnen Plattform-Aussage (NVIDIA-Keynote-Zusammenfassung).
Die OpenShell Reference Architecture paart das OpenShell-Runtime mit Sentry auf BlueField-4-DPUs, die das Agentenverhalten out-of-band überwachen und einen abweichenden Agenten „in Millisekunden" in Quarantäne setzen — Governance läuft im Silizium, außerhalb des Hosts, auf dem der Agent läuft (NVIDIA-Newsroom).
Huangs Regel sind Privilegien je Start: „Jedes Mal, wenn ein Agent gestartet wird, sind die Privilegien anders" — die architekturelle Antwort auf die überprivilegierten Default-Rollen-Ausfälle, die in diesem Jahr in Agenten-Vorfall dokumentiert wurden (NVIDIA-Keynote-Zusammenfassung).
DSX POD verkürzt den Onsite-Einsatz einer KI-Fabrik von sechs Monaten auf 14 Tage, und Vera Rubin ist „in voller Produktion … um den gesamten KI-Agenten zu verarbeiten" — Kapazität wird zu einer Zeile der Lieferkette, nicht zu einem Bauvorhaben (NVIDIA-Keynote-Zusammenfassung).
Die Agent Knowledge Foundation plus Kumo-Modelle machen die Wissensebene zum Produkt, in Übereinstimmung mit Huangs Behauptung, dass der Zugriff auf Firmenwissen das ist, was „diese Agenten zu Super-Agenten macht" (NVIDIA Developer).

Heute Morgen im Tempodrom in Berlin eröffnete Jensen Huang mit einer Liste von neun europäischen Unternehmen — L'Oréal, Revolut, Spotify, Merck, Vodafone, Zara, Porsche, Nestlé, HSBC — die alle mit NVIDIA an KI arbeiten, getragen von rund 10 Mrd. US-Dollar, die Europas KI-Ökosystem über eine Woche durch Paris, London, Stockholm und Dublin zugesagt wurden (NVIDIA-Keynote-Zusammenfassung; NVIDIA-Frankreich-Beitrag). Aber die Ankündigung, die Enterprise-Architektur verändert, ist schmaler: Während Unternehmen „sich darauf vorbereiten, Milliarden von KI-Agenten einzusetzen", hat NVIDIA Agent-Governance als Rechnerebene ausgeliefert. Die OpenShell Reference Architecture, angekündigt am 21. Oktober 2026, paart ein richtlinienkontrolliertes Runtime mit Kernel-Level-Sandboxing mit der Durchsetzung im Silizium auf Netz-DPUs — und sie ist heute mit vollständiger Referenzdokumentation verfügbar.

Dieser Artikel ordnet zu, was jede Ebene der Fünf-Teile-Agenten-Anatomie von NVIDIA jetzt als Produkt liefert, liest die Governance-Ansprüche gegen die Containment-Bilanz, die sich über 2026 angesammelt hat — der gescheiterte Kill Switch in OpenAIs Sandbox-Escape, die Default-Rolle, die einem einzigen Prompt erlaubte, jeden Agenten eines AWS-Accounts zu übernehmen — und trennt die kaufbaren Ebenen von der Entscheidung, die weiter beim Deployer liegt: wie der Agent Ihre laufenden Systeme berührt.

Die Fünf-Ebenen-Anatomie wird zur Stückliste

NVIDIAs Keynote beschrieb den Agenten als fünf Elemente: ein Modell, ein Harness, der seine Arbeit und sein Gedächtnis orchestriert, eine Sandbox, die den Harness isoliert, sowie Wissen und Tools (NVIDIA-Keynote-Zusammenfassung). Der Rahmen zählt, wegen dessen, was folgte — das „Fünf-Schichten-Kuchen"-Argument, dass Infrastruktur den Modellen vorausgeht, und die Aussage, „wir stehen am Anfang einer neuen industriellen Revolution". NVIDIAs These hat Plattformform: Agenten sind das Rechen-Substrat des nächsten Stacks, und jede Schicht dieses Stacks ist kaufbar.

Ebene	Was NVIDIA lieferte	Die konkrete Zeile
Modell	Vera Rubin-Infrastruktur, in voller Produktion, „um den gesamten KI-Agenten zu verarbeiten"	Vera Rubin NVL72 mit 30× mehr Durchsatz pro Megawatt (Händlerangabe)
Harness	Vera-CPUs, die Agent-Harnesses und Tool-Nutzung laufen lassen	2× die Leistung von x86-Prozessoren (Händlerangabe)
Sandbox	OpenShell — Open-Source-Runtime mit richtlinienkontrolliertem Kernel-Level-Sandboxing	Liegt zwischen einem Agenten und den Systemen, die er beeinflussen kann
Wissen	NVIDIA Agent Knowledge Foundation	Nemotron-Dokument-Parsing, Embeddings, Reranking + Kumo-Modelle für Vorhersage über strukturierte Daten
Tools	CUDA-X beschleunigte Bibliotheken	11 Millionen Entwickler, die auf der Plattform bauen

Unter jedem Schichtendiagramm liegt die Schicht, die diese Tabelle nicht aufführt: die Governance-Ebene. In NVIDIAs Rahmen ist sie nicht einmal eine Schicht — sie ist der Ort, an dem die Grenzen aller anderen Schichten durchgesetzt werden. Das ist die Design-Veränderung, auf die es ankommt.

Die fünf Teile des Stacks und die Enforcement-Ebene, die alle überwacht:

Die Governance-Ebene zog von Instruktionen ins Silizium

Die stärkste Aussage des Tages war nicht über Durchsatz. Justin Boitano, NVIDIAs Vizepräsident für Enterprise AI, formulierte sie im September als Design-Constraint, als die Open Agent Safety Platform erstmals angekündigt wurde: „Agenten können abdriften, wenn Instruktionen mehrdeutig sind … Von einem Agenten kann man nicht erwarten, dass er sein Verhalten voll überwacht. Sobald KI handeln kann, müssen Safeguards die Handlungen des Agenten regieren" (PBS NewsHour/AP). Die Keynote machte daraus Architektur: OpenShell ist ein richtlinienkontrolliertes Runtime mit Kernel-Level-Sandboxing, das zwischen einem Agenten und den Systemen liegt, die er beeinflussen kann, und Sentry läuft auf BlueField-4-DPUs, um das Agentenverhalten kontinuierlich out-of-band zu überwachen und Richtlinien im Silizium durchzusetzen — einen Agenten, der seine Softwaregrenze verlässt, „in Millisekunden" in Quarantäne setzt (NVIDIA-Newsroom).

Drei Eigenschaften dieses Designs sind operativ relevant:

Der Wächter steht außerhalb des Hosts. Jede softwarebasierte Isolationszeile im Containment-Stack — Container, Hypervisoren, WebAssembly — teilt eine Fehlerdomäne: den Host-Kernel. Ein DPU-residierender Sentry ist das Hardware-Pendant der Regel der „zwei unabhängigen Schichten": Die Quarantäne überlebt die Kompromittierung der Schicht, die sie überwacht. OpenAIs Sandbox-Escape dokumentierte die Kosten der fehlenden unabhängigen Schicht — ein Alarm, den der Monitor in 12 Minuten fällte, brauchte beim Menschen 2,5 Stunden zum Stoppen (OpenAI-Kill-Switch-Analyse).
Privilegien gelten je Start, nicht je Rolle. Huang: „Jedes Mal, wenn ein Agent gestartet wird, sind die Privilegien anders" (NVIDIA-Keynote-Zusammenfassung). Das ist die direkte architekturelle Widerlegung des schlimmsten Blast-Radius-Musters des Jahres — ein öffentlich exponierter Agent erreicht die Instanz-Metadaten und erbt eine überprivilegierte Default-Rolle, die jeden Agenten, jede Unterhaltung und jedes Secret im AWS-Account erreichte (AgentCorruption-Analyse). Eine einmal vergebene, breit geteilte Default-Rolle existiert nur, wenn Privilegien ein Konfigurationsschritt sind; ein Privilegien-Modell je Start macht stehende geteilte Credentials zum Anti-Pattern.
Der Widerruf überschreitet die Software-/Hardware-Grenze. ServiceNows am selben Tag GA gegangenes Arc — ein langlebiger persönlicher Agent, dessen Aktionen sein Control Tower steuert und OpenShell durchsetzt — führt eine Autoritätsschicht mit, AI Passport, die Richtlinien in OpenShell und Sentry trägt, sodass Unternehmen den Zugang eines Agenten „über Software und Hardware in Sekunden" widerrufen können (NVIDIA-Newsroom; ServiceNow). Kill Switches, die das Modell anweisen zu stoppen, haben eine dokumentierte Decke; Credentials, an der Enforcement-Ebene widerrufen werden, nicht.

Die Breite des Ökosystems ist der Glaubwürdigkeitstest. Modellbauer, deren Agenten auf OpenShell-Infrastruktur laufen, umfassen Anthropic, Google, Meta, OpenAI, Perplexity und Cohere; Sicherheitsanbieter, die die Integration unterstützen, umfassen CrowdStrike, Okta, Palo Alto Networks, Cisco, Fortinet und Zscaler; die europäischen Banken BBVA und Santander prüfen die Architektur als Governance-Rahmen; SAP verdrahtet sein Joule-Studio-Runtime hinein (NVIDIA-Newsroom). Eine Governance-Schicht, die von derselben Kohorte angenommen wird, die Frontier-Agenten produziert — und von den Finanzinstitutionen, die ihre eigenen Deployments regulieren werden — ist eine andere Art von Ankündigung als eine Plattformfirma, die Sicherheit allein verkauft.

Zwei Ehrlichkeitsmarken begrenzen die Lesart. Erstens sind die Headline-Zahlen Händler-Ankündigungen am Launch-Tag: 30× Durchsatz pro Megawatt, 2× x86-Leistung, „bis zu 20 %" Agenten-Kapazität durch Sentry — keine hat bislang einen Dritttest angehängt. Zweitens ist das Gleichgewicht Containment-gegen-Nutzbarkeit ungelöst, und NVIDIA behauptet nicht das Gegenteil. Somesh Jha, Informatikprofessor an der University of Wisconsin, sagte Reportern, das Runtime könnte Agenten daran hindern, nützliche Arbeit zu leisten, und wie das Gleichgewicht gezogen wird, „kann nur über Fallstudien beantwortet werden" (PBS NewsHour/AP). Und laut PBS geht die Plattform Modell-Unehrlichkeit überhaupt nicht an — das deployende Unternehmen schreibt weiter Regeln und Berechtigungen. Die Referenzarchitektur verschiebt, wo Durchsetzung lebt; Ihre Politik schreibt sie nicht.

Kapazität wurde zu einer Zeile der Lieferkette

Die andere Hälfte der Keynote ist Beschaffungsarithmetik. NVIDIA kündigte DSX POD an — ein Referenzdesign für eine komplette Vera Rubin KI-Fabrik, von Partnern in modularen Containern gebaut, vor der Auslieferung integriert und validiert. Sobald Strom, Wasser und Infrastruktur vor Ort stehen, verkürzt sich der Onsite-Einsatz von sechs Monaten auf 14 Tage; Huang nannte es „eine vollständige Transformation der weltweiten Lieferkette" (NVIDIA-Keynote-Zusammenfassung). Die DSX AI Factory Platform ergänzt die Effizienzzeilen — Kühlwasserbedarf um bis zu 100 % reduziert und gleicher Output mit bis zu 30 % weniger Strom (beides Händlerangaben).

Für einen mittelständischen B2B-Betreiber ist die ehrliche Lesart indirekt, aber real: Rechenleistung konvergiert zu einem Mietkommodity mit Warehouse-Lead-Time-Restriktionen. Keiner, der einen Quote Desk oder einen Fulfillment-Agenten deployt, braucht einen Pod auf dem Hof. Der Deployment-Velocity-Datapunkt zählt, weil er das letzte strukturelle Argument für die Eigeninfrastruktur „irgendwann" entfernt — die Schicht, die der Grund zu warten war, ist jetzt die Schicht, die man mit Termin mieten kann. Der Plattformvergleich für Enterprise-Agenten (Managed-Plattform oder eigener Stack) hat gerade einen Datapunkt auf der Händlerseite gewonnen: Der Silizium-Besitzer verkauft jetzt die Fabrik selbst, bis hin zur Fabrik, die mit Rack-Geschwindigkeit deployt.

Die Wissensebene ist die Differenzierung

Die am wenigsten beachtete Ankündigung des Tages ist die, die mid-market-Agenten am direktesten berührt: die NVIDIA Agent Knowledge Foundation — Modelle und Bibliotheken, um Agenten an Unternehmensdaten anzubinden — mit Nemotron-Komponenten für Dokument-Parsing, Query-Embeddings und Retrieval-Reranking, plus neue Kumo-Modelle für Vorhersage über strukturierte Daten. Huangs Rahmung: „Am Ende machen das, was diese Super-Agenten, was diese Agenten zu Super-Agenten macht, Ihre-Firmen-Wissen-Zugriffe aus", und nach dem Agent-Toolkit-Video: „dieses Wissen und diese Tools gehören Ihnen" (NVIDIA-Keynote-Zusammenfassung).

Das ist auch die Ebene, auf der Plattform-Ansprüche auf Käuferwirklichkeit treffen. Eine Wissensebene ist nur so gut wie das Entitäten-Modell dahinter — der typisierte Graph aus Artikeln, Staffeln, Verfügbarkeiten, Kreditkonditionen und Richtlinien, der „das Modell hat den Katalog gelesen" von „der Agent nennt den richtigen Preis mit den richtigen Konditionen“ trennt. Diese Schicht zu bauen ist der harte Teil eines Produktions-Agenten, und es ist Domänenarbeit, nicht Plattformarbeit: eine Wissensgraph-Retrieve-Ebene für Kundensupport über gescannte Handbücher und die Staffel-Preis-Semantik einer RFQ-Engine stammen nicht aus einem Foundation-Release, so gut die Parsing-Modelle auch sind. Dass NVIDIA die Retrieval- und Vorhersage-Primitiven liefert, ist genuin nützlich — auf dem Entitäten-Modell, das Sie besitzen.

Was der Deployer weiter entscheidet

Legt man die Keynote auf den mid-market-Entscheidungstisch, fallen die Buy/Own-Linien sauber:

Entscheidung	Die productisierte Option	Das Urteil des Deployers
Rechenleistung	Rubin-Ära-Kapazität via Cloud-Provider (AWS, Azure, Google Cloud) mit OpenShell-fertiger Infrastruktur	Mieten; Kapazität kommt nun auf einem 14-Tage-Terminplan
Sandbox + Durchsetzung	OpenShell-Runtime auf Canonical, Red Hat, SUSE, Windows (MXC), plus Cloud-Betriebssysteme; Sentry auf BlueField-4	Die Referenzarchitektur annehmen; das Privilegien-Modell je Start braucht weiterhin Ihre Workflow-Scoping
Modell	Frontier-Geschlossene und offene Modelle laufen auf OpenShell-Infrastruktur, inklusive konkurrierender Silizium-Pfade laut AP	Das Modell austauschbar halten; das LLM-Registry-Muster macht es zur Datenoperation
Wissen	Nemotron-Parse/Embed/Rerank + Kumo-Vorhersage-Primitiven	Sie bauen das Entitäten-Modell: Ihr Katalog, Ihre Preisstaffeln, Ihre Kredit- und Richtlinien-Semantik
Tools	CUDA-X + Händler-Agenten-Toolkits	Sie bauen die typisierte Integrationsschicht in NetSuite-, BigCommerce-, ShipStation-Klasse-Systeme — mit Scopes je Start

Die letzte Zeile ist die, die für einen mittelständischen Betrieb zählt. Der Konferenzkalender macht es lokal: NetSuites SuiteWorld öffnet am 25. Oktober, mit der Eröffnungs-Keynote am 26. — die Enterprise-Seite der Tools-Ebene bekommt gleich ihre eigene Woche an Ankündigungen. Was auch immer die ERP-Anbieter liefern (NetSuites 2026.2 trug im Juli bereits Approval-Checkpoint-Agenten-Integrationen), der Agent, der ein Zitat zusammenstellt, braucht Staffelpreise, Verfügbarkeitsreservierungen, Kredit-Status und Stornobedingungen als typisierte Eingaben — von Systemen, deren APIs nicht für Agenten gebaut wurden. Der Fünf-Entscheidungen-Architekturrahmen deckt diese Bauschicht ab; die Keynote verändert dessen Governance-Substrat, nicht seine Form.

Ein repräsentativer Build: ein mittelständischer Industriedistributor, der einen 24/7-Quote Desk auf NetSuite betreibt — Intake-Agent, Katalog- und Preisabfragen über ein typisiertes MCP-Modul (38 registrierte Tools über Request-, Verfügbarkeits-, Quote- und Pricing-Mixins in unserer Referenzimplementierung), und eine Kreditprüfung-Integration. Das OpenShell-Muster landet direkt darauf: Jeder Start des Intake-Agenten hält seinen Sandbox-Scopes (Katalog lesen, 15-Minuten-Verfügbarkeitsreservierung holen, Quote-Entwurf schreiben), der Audit-State je Call landet als MCPFunctionCallModel-ähnlicher Eintrag, und die Enforcement-Ebene sind nicht die Instruktionen des Agenten selbst — es ist ein widerrufbarer Credential-Satz am Gateway, sodass ein entgleister Lauf seine Tools in Sekunden verliert, nicht seine Reputation im Postmortem. Die privilegierte Oberfläche bleibt durch Konstrukt klein — das ist der ganze Punkt der Privilegien je Start.

Beantragen Sie einen scoped Build. Eine Woche Discovery. Sie erhalten ein Systeminventar, eine Workflow-Map und einen festen Scope — ob Sie mit uns bauen oder nicht.