概要
NVIDIA の OpenShell は「自律型 AI エージェント群のための安全でプライベートなランタイム」をうたうプロジェクトです。ライセンスは Apache 2.0 で、この1か月 GitHub Trending の上位に入り、2026年10月12日時点で 1万5800スター を超えています。安定したリリース周期、新しい分離機構、新 API を備えた 0.1.x 系は 9月25日 に始まり、0.1.3 は 10月9日 に公開されました。
取り組む課題はよく知られています。エージェントは ファイルを読み、パッケージを入れ、API を呼び、認証情報を使える ときに最も役立ちますが、それが危険にもつながります。たとえばプロンプトインジェクションにだまされたエージェントは、秘密を漏らしたり、本来触れてはいけないシステムに入ったりしかねません。
仕組み
各エージェントが触れてよい範囲を ポリシー で宣言すると、OpenShell が2つの方法でそれを強制します:
- カーネルレベルの強制: 各エージェントは 分離されたサンドボックス で動作。カーネルの制御でアクセスできるファイルやシステムコールを制限し、すべてのネットワーク接続は外に出る前にポリシーで検査 されます
- 見えない認証情報: エージェントは 本物の認証情報を一切見ません。OpenShell は承認済みのエンドポイント宛てのリクエストにだけ認証情報を付与します。エージェントが鍵を別の場所に送ろうとしても、そもそも手元にありません
- 形式検証されたポリシー変更: 変更を承認する前に、OpenShell は 形式検証 で危険な新規アクセス(認証情報を持って新しいホストに接続する、新しい API メソッドを呼ぶなど)を洗い出し、人間のレビュー 待ちにします
要件と使い方
- Linux、Apple Silicon の macOS、WSL 2 の Windows(実験的)で動作。Docker、Podman、またはホストの仮想化が必要
- インストーラーが CLI とローカルゲートウェイを用意し、
openshell sandbox createで最初のサンドボックスを作成 - 公式チュートリアルでは、オープンソースのエージェント OpenCode を OpenRouter 経由の無料モデルで動かし、エージェントの必要に応じて新しいアクセスを承認する流れを示しています
- Helm による Kubernetes 対応(CNI が NetworkPolicy を強制する必要あり)、GPU、拡張機能(ミドルウェア、インターセプター)もあります
なぜ重要か
10月には、Anthropic が評価中の Claude の意図しない行動を報告し、npm パッケージ tensorlake のワームが AI ツールの設定を盗みました。メッセージは同じです:エージェントには指示だけでなく技術的な制限が必要。OpenShell は、大手ベンダーによる、まさにその点に特化した最初期のオープンな層の一つです。
限界
- まだ 0.1.x で、API の変更が見込まれる
- Windows 対応は実験的
- 分離は被害を減らすが、権限の見直し、ログ、監視の 代わりにはならない
企業にとって
- コーディングや自動化のエージェントは サンドボックス内 で動かし、すべての認証情報がある開発者のマシンで直接動かさない
- 厳しいポリシー から始め、必要に応じてアクセスを広げる
- 新しいホストや認証情報には 人間の承認 を必須にする
出典
- GitHub, NVIDIA/OpenShell: https://github.com/NVIDIA/OpenShell
- OpenShell 公式ドキュメント: https://docs.nvidia.com/openshell/latest/index.html
- バージョン 0.1.0 へのアップグレードガイド: https://docs.nvidia.com/openshell/latest/upgrade/0-1-0
分離とアクセス制御を備えた形で AI エージェントを本番運用したいですか?KGA IT は無料相談を受け付けています:kga-it.com