エージェント・プロダクション・スタックの製品化：NVIDIA GTCベルリン・リファレンスアーキテクチャの内側

重要なポイント

• NVIDIAのGTCベルリン基調講演は、エージェントを5つの要素——モデル、ハーネス、サンドボックス、ナレッジ、ツール——と定義し、単一のプラットフォーム主張ではなく5層すべてをカバーするリファレンスアーキテクチャを出荷しました（NVIDIA基調講演レポート）。
• OpenShellリファレンスアーキテクチャは、OpenShellランタイムとBlueField-4 DPU上のSentryを組み合わせ、エージェントの振る舞いをアウトオブバンドで監視し、境界外のエージェントを「ミリ秒単位で」検疫します——ガバナンスが、エージェントが動くホストの外にあるシリコン内で実行されます（NVIDIAニュースルーム）。
• Huangのルールは起動ごとの権限です：「エージェントが起動されるたびに、権限は異なる」——今年のエージェントインシデントで文書化された、過剰権限のデフォルトロール問題に対するアーキテクチャレベルの回答です（NVIDIA基調講演レポート）。
• DSX PODはAIファクトリーのオンサイト展開を6か月から14日へ短縮し、Vera Rubinは「AIエージェントの全体を処理するために」本番稼働に入りました——キャパシティは建設プロジェクトではなく、サプライチェーンの1行目になっています（NVIDIA基調講演レポート）。
• Agent Knowledge FoundationとKumoモデルはナレッジ層を製品化し、企業のナレッジへのアクセスが「これらのエージェントをスーパーエージェントに変える」というHuangの主張を踏襲します（NVIDIA Developer）。

今朝ベルリンのTempodromで、Jensen Huangは9つの欧州企業——L'Oréal、Revolut、Spotify、Merck、Vodafone、Zara、Porsche、Nestlé、HSBC——を挙げて幕を開けました。いずれもAIでNVIDIAと協業しており、パリ、ロンドン、ストックホルム、ダブリンを巡る1週間のロードショーの中で、欧州のAIエコシステムに約100億ドルが投じられています（NVIDIA基調講演レポート；NVIDIAフランスの投稿）。しかし、企業のアーキテクチャを変える発表はもっと絞り込まれています：「数十億のAIエージェントを展開する準備」を進める企業に対し、NVIDIAはエージェントのガバナンスをコンピューティングのレイヤーとして出荷しました。2026年10月21日に発表されたOpenShellリファレンスアーキテクチャは、ポリシー制御のカーネルレベルサンドボックスランタイムと、ネットワークDPUによるシリコン内 enforcement を組み合わせます——そして今日から完全なリファレンス文書とともに利用可能です。

本稿は、NVIDIAの5要素エージェント構造の各層がいま製品として何を出荷するのかをマッピングし、ガバナンスの主張を2026年に蓄積されたコンテインメント記録と突き合わせます——OpenAIのサンドボックス脱出で機能しなかったキルスイッチ、1つのプロンプトがAWSアカウントの全エージェントを乗っ取ったデフォルトロール——そして「買える層」と、デプロイ側に残された決定：エージェントが稼働中のシステムにどこまで触れるか、を切り分けます。

5層の構造が部品表に変わる

NVIDIAの基調講演はエージェントを5つの要素として描きました：モデル、仕事と記憶をオーケストレーションするハーネス、ハーネスを隔離するサンドボックス、ナレッジ、そしてツールです（NVIDIA基調講演レポート）。この枠組みが重要なのは、その後に来た内容のためです——「5層のケーキ」、すなわちインフラがモデルに先行するという主張、そして「私たちは新しい産業革命の始まりにいる」との言葉。NVIDIAのテーゼはプラットフォームの形をしています：エージェントは次のスタックのコンピューティング基盤であり、そのスタックのすべての層は購入できます。

層	NVIDIAが出荷したもの	具体的な行
モデル	本番稼働のVera Rubinインフラ、「AIエージェントの全体を処理する」	Vera Rubin NVL72、1MWあたり30倍のスループット（ベンダー数値）
ハーネス	エージェントハーネスとツール利用を動かすVera CPU	x86プロセッサの2倍の性能（ベンダー数値）
サンドボックス	OpenShell——カーネルレベルのサンドボックスを持つ、ポリシー制御のオープンソースランタイム	エージェントと、その影響が及び得るシステムの間に介在
ナレッジ	NVIDIA Agent Knowledge Foundation	Nemotronのドキュメント解析、埋め込み、リランキング + 構造化データ予測のKumoモデル
ツール	CUDA-Xアクセラレーションライブラリ	プラットフォーム上で構築する1,100万人の開発者

どんな層図の下にも、この表が載せていない層があります：ガバナンスプレーンです。NVIDIAの枠組みでは、それは層としてすら扱われません——他のすべての層の境界が強制される場所です。注目すべき設計変化はこの点です。

スタックの5つの要素と、そのすべてを見張るenforcementプレーン：

ガバナンス層が、命令からシリコンへ移った

この日の最も力強い発言は、スループットの話ではありませんでした。NVIDIAエンタープライズAI担当副社長のJustin Boitanoは、9月にOpen Agent Safety Platformが初めて発表された時点で、それを設計制約として示しています：「命令が曖昧だとエージェントはドリフトします……エージェント自身の振る舞いを完全に監視できるとは期待できません。AIが行動できるようになれば、セーフガードがエージェントの行動を支配しなければなりません」（PBS NewsHour/AP）。基調講演はこれをアーキテクチャにしました：OpenShellは、エージェントとその影響が及び得るシステムの間に介在する、ポリシー制御のカーネルレベルサンドボックスランタイムであり、SentryはBlueField-4 DPU上で動いてエージェントの振る舞いを継続的にアウトオブバンドで監視し、シリコン内でポリシーを強制します——ソフトウェアの境界を出ようとするエージェントを「ミリ秒で」検疫します（NVIDIAニュースルーム）。

この設計の3つの性質が、運用上の意味を持ちます：

• 監視役はホストの外にいる。 コンテインメントスタックのすべてのソフトウェア限定の隔離——コンテナ、ハイパーバイザ、WebAssembly——は1つの障害ドメインを共有します：ホストカーネルです。DPU常駐のSentryは「独立した2層」ルールのハードウェア板です：検疫は、それが見張っている層が破られても生き残ります。OpenAIのサンドボックス脱出は、不足していた独立レイヤーの代償を文書化しました——モニターが12分で検知したアラートを、人間が止めるまでに2.5時間かかったのです（OpenAIキルスイッチ分析）。
• 権限はロール単位ではなく、起動単位。 Huang：「エージェントが起動されるたびに、権限は異なる」（NVIDIA基調講演レポート）。これは今年最悪のブラスト半径パターンへの直接のアーキテクチャ的否定です——公開されたエージェントがインスタンスメタデータに到達し、過剰権限のデフォルトロールを継承して、AWSアカウント内のすべてのエージェント、会話、シークレットに届いた件（AgentCorruption分析）。一度付与されて広く共有されるデフォルトロールは、権限が設定手順であるときにしか存在しません。起動ごとの権限モデルは、共有される常設認証情報をアンチパターンにします。
• 取り消しが、ソフトウェアとハードウェアの境界を越える。 同日にGAしたServiceNowのArc——制御対象とする長時間稼働のパーソナルエージェントで、その行動はコントロールタワーが支配し、OpenShellが強制します——は、権限レイヤーのAI Passportを備え、ポリシーをOpenShellとSentryに運ぶことで、企業はエージェントのアクセスを「ソフトウェアとハードウェアを横断して数秒で」取り消せます（NVIDIAニュースルーム；ServiceNow）。モデルに止まるよう指示するタイプのキルスイッチには、文書化された上限があります。enforcementプレーンで失効させた認証情報には、ありません。

エコシステムの広がりが信頼性の試金石です。OpenShellインフラ上でエージェントを動かすモデルビルダーには、Anthropic、Google、Meta、OpenAI、Perplexity、Cohereが含まれます。統合を進めるセキュリティベンダーには、CrowdStrike、Okta、Palo Alto Networks、Cisco、Fortinet、Zscaler。欧州銀行のBBVAとSantanderは、ガバナンスフレームワークとしてこのアーキテクチャを検討中で、SAPは自社のJoule Studioランタイムを統合しようとしています（NVIDIAニュースルーム）。フロンティアエージェントを生み出すのと同じ陣営——そして自社の展開を自ら規制する金融機関——が採用したガバナンス層は、プラットフォームベンダーが単体でセキュリティを売ることとは、まったく別種の発表です。

2つの正直さのマーカーが、この解釈に上限を設けます。第一に、この日の見出しの数字はすべて発表日当日のベンダー主張です：1MWあたり30倍のスループット、x86の2倍の性能、Sentryによる「最大20%」のエージェント容量——どれにも第三者検証は付いていません。第二に、コンテインメントと使いやすさのバランスは未解決であり、NVIDIAもその逆を主張していません。ウィスコンシン大学のコンピュータサイエンス教授Somesh Jhaは、このランタイムはエージェントが有用な仕事をするのを妨げ得ると報道陣に述べ、バランスは「ケーススタディによってのみ答えられる」としました（PBS NewsHour/AP）。またPBSによれば、このプラットフォームはモデルの不正直さにはまったく対応しません——ルールと権限を書くのはそれでも展開する企業です。リファレンスアーキテクチャは、enforcementがどこに住むかを変えたのであり、あなたのポリシーを書いてくれるわけではありません。

キャパシティは、サプライチェーンの1行になった

基調講演のもう半分は、調達の算術です。NVIDIAはDSX PODを発表しました——完全なVera Rubin AIファクトリーのリファレンスデザインで、パートナーがモジュラーコンテナ内で製造し、納品前に統合と検証を済ませます。サイト設備が整えば、オンサイト展開は6か月から14日へ短縮されます。Huangは「世界のサプライチェーンの完全な変革」と呼びました（NVIDIA基調講演レポート）。DSX AI Factory Platformは効率の行を追加します——冷却水の需要は最大100%削減、同じ出力を最大30%少ない電力で（いずれもベンダー数値）。

中堅B2B事業者にとって、正直な読みは間接的ですが本物です：コンピュートは、倉庫リードタイムという制約のついたレンタル商品へ収束しています。見積デスクやフルフィルメントエージェントを展開する者に、敷地内のPODは要りません。展開速度のデータポイントが重要なのは、インフラを「いずれ」保有するという最後の構造的理屈を取り除くからです——待つ理由だった層が、日程つきで借りられる層になったのです。エンタープライズエージェントのプラットフォーム比較（マネージドプラットフォームか、自前スタックか）には、ベンダー側のデータポイントが1つ加わりました：シリコンの所有者が工場そのものを売り、工場がラックスピードで展開される。

差別化はナレッジ層にある

この日もっともカバーされなかった発表が、中堅市場のエージェントに最も直接触れるものです：NVIDIA Agent Knowledge Foundation——エージェントを企業データにつなぐモデルとライブラリ——で、Nemotronのドキュメント解析・クエリ埋め込み・リランキングのコンポーネントと、構造化データ予測のための新しいKumoモデルが含まれます。Huangの言葉：「結局のところ、これらのスーパーエージェント、このエージェントたちをスーパーエージェントに変えるのは、あなたの会社のナレッジへのアクセスを与えることだ」。そしてエージェントツールキットのビデオの後：「そのナレッジとツールはあなたのものだ」（NVIDIA基調講演レポート）。

ここが、プラットフォームの主張と買い手の現実が衝突する層でもあります。ナレッジ層は、その背後にあるエンティティモデルの質しか映しません——「モデルはカタログを読んだ」と「エージェントは正しい契約で正しい価格を提示した」を分ける、型付けされた品目・等級・在庫・与信条件・ポリシーのグラフです。この層を作るのが本番エージェントで最も難しい部分であり、それはプラットフォームの仕事ではなくドメインの仕事です：スキャンされたマニュアル上のカスタマーサポートのためのナレッジグラフ検索も、RFQエンジンの階層価格の意味論も、foundationのリリースからは出てきません。解析モデルがどれだけ良くても。NVIDIAが検索と予測のプリミティブを供給するのは、実用的です——あなたが所有するエンティティモデルの上で。

デプロイ側が依然として決めること

この基調講演を中堅市場の意思決定テーブルに置けば、buy/ownの線はきれいに落ちます：

決定	製品化された選択肢	デプロイ側の判断
コンピュート	OpenShell対応インフラとともに、クラウドプロバイダ経由でRubin世代のキャパシティを利用	借りる。キャパシティは14日スケジュールで届く
サンドボックス＋enforcement	Canonical、Red Hat、SUSE、Windows (MXC)ならびにクラウドOS上のOpenShellランタイム；BlueField-4上のSentry	リファレンスアーキテクチャを採用；起動ごとの権限モデルには、あなたのワークフローの範囲設計が残る
モデル	フロンティアのクローズドとオープンのモデルはOpenShellインフラ上で動く。AP報道では競合シリコンの道も	モデルは差し替え可能に保つ。LLMレジストリのパターンなら、入れ替えはデータ操作になる
ナレッジ	Nemotronの解析/埋め込み/リランキング＋Kumo予測プリミティブ	エンティティモデルはあなたが作る：自社カタログ、価格階層、与信とポリシーの意味論
ツール	CUDA-X＋ベンダーのエージェントツールキット	NetSuite、BigCommerce、ShipStation級のシステムへの型付けされた統合層は、起動ごとのスコープとともにあなたが作る

最後の行が、中堅のオペレーションにとって意味のある行です。カンファレンスカレンダーがこれを地場で示します：NetSuiteのSuiteWorldは10月25日に開幕、開幕基調講演は10月26日——ツール層のエンタープライズ側が、自前の発表週を迎えます。ERPベンダーが何を出荷しようとも（NetSuiteの2026.2は7月に承認チェックポイント型のエージェント統合をすでに載せました）、見積りを組み立てるエージェントには、階層価格、在庫引き当て、与信状況、キャンセル条件が型付けられた入力として必要です。それらのシステムのAPIはエージェントのために作られていません。5つの決定に沿うアーキテクチャの枠組みがその構築面をカバーします。基調講演はこのガバナンスの土台を変えたのであり、形を変えたのではありません。

代表的な構築：NetSuite上に24/7の見積デスクを運営する中堅の工業用品ディストリビューター——受付エージェント、型付けされたMCPモジュール経由のカタログ・価格照会（われわれのリファレンス実装では、リクエスト・在庫・見積・価格のミックスインに38の登録ツール）、与信チェックの統合。OpenShellのパターンはこれに直接マップします：受付エージェントの起動のたびに、サンドボックスされたスコープ（カタログの読み取り、15分の在庫引き当て、見積ドラフトの書き込み）を保持し、呼び出しごとの監査状態がMCPFunctionCallModel型のレコードに落ちて、enforcementプレーンはエージェント自身の命令ではありません——ゲートウェイにある取り消し可能な認証情報の集合です。暴走した実行は、ポストモーテムで評判を失うのではなく、数秒でツールを失います。特権面は構造によって小さく保たれる——それが起動ごとの権限の要点です。

範囲を定めた構築をご依頼ください。 1週間のディスカバリー。システム棚卸し、ワークフローマップ、固定スコープをお渡しします——当社で構築されない場合でも。

関連記事

• モデルではなくデフォルトロール：1つのプロンプトがAWSアカウントの全エージェントを掌握した経緯 — 起動ごとの権限モデルがアーキテクチャレベルで論駁するブラスト半径パターン
• AIエージェント・ガバナンス・チェックリスト：デプロイ前レビュー — OpenShell/Sentry の enforcement 層がデプロイ前レビューに置かれる位置
• 本番エージェントのマネージドAIプラットフォームか自前スタックか — 「NVIDIAは工場そのものを売る」というデータポイントが着地するプラットフォームの計算