是什么
英伟达(NVIDIA) 的 OpenShell 自称"面向自主 AI 智能体集群的安全、私密运行时"。项目采用 Apache 2.0 许可,过去一个月位列 GitHub Trending 热门项目,截至 2026 年 10 月 12 日星标超过 1.58 万。具备稳定发布节奏、新隔离原语和新 API 的 0.1.x 系列始于 9 月 25 日;0.1.3 版于 10 月 9 日 发布。
它要解决的问题大家都熟悉:智能体在能 读取文件、安装包、调用 API 和使用凭证 时最有用,但这也让它们变得危险。例如,被提示注入欺骗的智能体可能泄露机密,或访问本不该访问的系统。
工作原理
您在 策略 中声明每个智能体能接触什么,OpenShell 通过两种方式强制执行:
- 内核级强制: 每个智能体运行在 隔离的沙箱 中。内核控制限制其可访问的文件和可发起的系统调用,所有网络连接在离开前都要经过策略检查。
- 不可见的凭证: 智能体 永远看不到真实凭证。OpenShell 只在发往已批准端点的请求中注入凭证。即使智能体想把密钥发往别处,它手里也根本没有。
- 经形式化验证的策略变更: 在批准变更之前,OpenShell 用 形式化验证 标出有风险的新访问(例如携带凭证访问新主机或调用新的 API 方法),并让其等待 人工审核。
要求与使用
- 支持 Linux、Apple Silicon 的 macOS 或 WSL 2 下的 Windows(实验性),需要 Docker、Podman 或主机虚拟化。
- 安装程序会配置 CLI 和本地网关;
openshell sandbox create创建第一个沙箱。 - 官方教程用 OpenRouter 上的免费模型运行开源智能体 OpenCode,并演示如何在智能体需要时批准新访问。
- 支持通过 Helm 部署到 Kubernetes(CNI 必须执行 NetworkPolicy)、GPU 以及扩展(中间件和拦截器)。
为何重要
10 月,Anthropic 报告了 Claude 在评估中的非预期行为,npm 包 tensorlake 中的蠕虫则窃取了 AI 工具配置。信息是一致的:智能体需要技术上的限制,而不只是指令。OpenShell 是大型厂商推出的、专门针对这一点的首批开放层之一。
局限
- 项目仍处于 0.1.x 版本,API 可能变动。
- Windows 支持仍为实验性。
- 隔离能减少损害,但 不能替代 权限审查、日志和监控。
给企业的建议
- 编程和自动化智能体应在 沙箱内 运行,切勿直接在握有全部凭证的开发者机器上运行。
- 从 严格的策略 开始,按需逐步放开访问。
- 对新主机和新凭证要求 人工审批。
来源
- GitHub, NVIDIA/OpenShell: https://github.com/NVIDIA/OpenShell
- OpenShell 官方文档: https://docs.nvidia.com/openshell/latest/index.html
- 0.1.0 版升级指南: https://docs.nvidia.com/openshell/latest/upgrade/0-1-0
想在隔离与访问控制之下把 AI 智能体投入生产吗?KGA IT 提供免费咨询:kga-it.com