英伟达开源 OpenShell：给智能体一群「带监控的沙箱」，凭据只在出门那一刻注入

让智能体真正干活，绕不开一个矛盾：它要读文件、装依赖、调 API、用凭据，才可能完成任务；可一旦它拥有这些能力，也就拥有了破坏力。多数团队的处理方式是写一份系统提示词，叮嘱模型「不要删东西、不要外传数据」——这不叫安全边界，这叫祈祷。英伟达开源的 OpenShell 想用工程手段替代祈祷。

一分钟速览

• OpenShell 是面向自主智能体集群的安全私有运行时，Apache-2.0 许可，主体用 Rust 编写。
• 两层控制：内核级插桩，对每次文件访问、系统调用、网络连接执行策略；策略变更前用形式化验证预演它会放开哪些权限。
• 每个智能体跑在隔离沙箱里，凭据从不出现在沙箱内，只在发往已批准端点的请求上注入。
• 架构分三部分：gateway（控制面）、supervisor、sandbox；安装脚本拉起 CLI 与本地 gateway，默认镜像是极简 Ubuntu。

策略不是文档，是内核里的检查

OpenShell 的核心主张是「你声明每个智能体能碰什么，它来强制执行」。强制执行的落点是内核插桩：文件访问、系统调用、网络连接，在运行时逐次过策略。这和容器安全组的思路不同——后者管的是网络边界，前者管的是行为本身。

网络这一层尤其关键。智能体被提示注入后最典型的动作，是把读到的内容发到外部地址。OpenShell 让每一条出站连接在离开沙箱前都过一次策略检查，等于在数据外流的最后一步设卡。

凭据只在「出门」时存在

「智能体永远看不到真实凭据」这句话是整套设计里最有分量的一条。OpenShell 的做法是：沙箱内的进程拿不到密钥，只有当请求被判定发往已批准端点时，运行时才把凭据附加到这次请求上。

这解决了一个长期无解的问题。过去要让智能体调用内部 API，只能把 token 塞进环境变量或配置文件，然后寄希望于模型不去读它、不把它写进日志、不在回答里复述。只要模型能看到，提示注入就有机会把它钓出来。凭据外置之后，即使模型完全被劫持，它能泄露的也只是「它做过什么」，而不是「它能做什么」。

策略变更先做形式化验证

第二个有意思的设计是：在一条策略变更被批准之前，OpenShell 会用形式化验证预演这次改动会新放开哪些访问——比如访问一台新主机并携带凭据、调用一个新的 API 方法——这类高风险变更会被拦下来等人工复核。

这个思路把「权限评审」从人的直觉变成了机器的推演。现实中权限事故很少来自一次明显的放权，而来自几十次「就加一个小权限」的累积。每次变更都自动算出增量风险，才有可能在累积成事故前拦住。

三件套与上手路径

OpenShell 的架构分三层：gateway 是控制面，管沙箱、策略和访问；supervisor 负责运行与监督；sandbox 是智能体真正待的地方，涉及镜像、运行时、GPU 与生命周期。它也提供 Kubernetes 相关文档，说明目标是集群级部署，而不是单机玩具。

上手方式很直接：一条安装脚本拉起 CLI 和本地 gateway，然后创建沙箱。默认镜像是极简 Ubuntu，不带任何智能体；官方示例让它跑 OpenCode 对接一个免费的 OpenRouter 模型，演示智能体在需要新权限时如何申请、人如何批准。仓库还提供面向编码智能体的 OpenShell skills。

为什么是英伟达来做这件事

表面上看，这是一个安全工具，和 GPU 厂商的主业关系不大。但放进更大的图景就顺了：智能体要跑起来，需要算力；智能体要跑得久，需要沙箱和调度；智能体要跑得放心，需要策略与验证。谁定义了智能体的运行时，谁就离「智能体跑在什么硬件上」这个问题的答案更近。

开源也是一个合理选择。安全运行时最怕的是「只有一家实现、没人审计」，Apache-2.0 加 Rust 实现，至少把审计门槛降下来了。对使用者来说，真正的考验不在功能列表，而在策略语言的表达力：能不能写清楚「这个智能体只能读 /data 下的 CSV、只能访问内网两个域名、不能起子进程」，以及误报率是否低到团队愿意长期维护。

趋势：智能体安全正在从提示词走向内核

过去一年，智能体安全的讨论集中在提示词层面：加一句「不要执行危险操作」、做一次输入过滤、上一个守卫模型。这些手段有用，但都不是边界。OpenShell 代表的是另一条路线：承认模型可能被攻破，然后把损害控制在运行时允许的范围内。

这条路线会成为默认，原因很现实——企业采购智能体时，安全团队问的问题不是「模型会不会被绕过」，而是「绕过之后能造成多大损失」。能回答第二个问题的产品，才进得了生产环境。

值得关注的后续是策略生态：如果各家智能体框架都开始输出 OpenShell 兼容的策略描述，运行时就会像容器一样标准化；如果各自为政，安全边界又会碎片化。开源在这里的作用，是让前者更可能发生。