英伟达开源了一个 agent 运行时

让 agent 装包、读文件、调接口，是它有用的前提；也是它删掉你数据库的前提。

一、发生了什么

英伟达在 GitHub 上开源了 OpenShell，仓库的自我定位是「给成群的自主 agent 用的安全运行时」。目前版本走到 0.1.x，官方说有稳定的发布节奏、新增的隔离原语和更宽的扩展面。

它管两件事。

第一件是内核级拦截。每个 agent 跑在自己的沙箱里，内核控制它能读哪些文件、能发哪些系统调用；每一条网络连接在离开沙箱之前，都要过一次策略检查。agent 看不到真实凭证，凭证只在请求发往已批准的端点时由运行时注入。

第二件是策略变更先证明再放行。改策略之前，它用形式化验证算一遍这次改动会新开哪些权限，比如用凭证访问一个新主机、调用一个新接口。这些会被标出来，等人工审。

结构上是三层：网关做控制面，管沙箱、策略和访问；supervisor 管进程；沙箱本身跑 agent。默认镜像是一个极简的 Ubuntu，里面什么 agent 都没装，需要按教程另外接。运行环境要求 Linux、Apple Silicon 的 macOS，或者实验性的 Windows 子系统，还要 Docker、Podman 或宿主机虚拟化。集群部署走 Helm，前提是你的容器网络插件真的会执行网络策略。

以上都是英伟达自己的文档口径，没有第三方测过它的拦截效果。

二、跟你有什么关系

准备让 agent 上手干活的人。 你要的不是更听话的模型，是它出错时最多只能碰到哪几个目录。

管凭证的人。 「agent 看不到真实密钥」这条如果成立，等于把密钥泄露这条路径从 agent 里拿掉，剩下的是端点被滥用。

做平台的人。 它给的是运行时不是产品。网关、策略、沙箱三层可以只取一层，不必整套接。

三、怎么用

1. 先起一个空沙箱。默认镜像里没有 agent，正好用来验证策略真的在拦：让它访问一个没放行的地址，看是不是被拒。
2. 策略从最小集开始。文件、网络、进程三类规则，先只放行一个工作目录和一个要用的接口，再逐条加。
3. 凭证走 provider，别塞进环境变量。让运行时在请求出口注入，agent 侧拿不到明文。
4. 把策略变更当代码评审。形式化验证标出来的新增访问，是要签字的那类改动，不是提示信息。
5. 确认遥测收了什么。官方说只收操作类别和计数，不收沙箱名、主机名、路径、提示词、凭证和内容，并给了关闭开关。

四、三个别信的说法

「有了运行时就不用管 agent 的行为。」 它管的是能碰到什么，管不了碰到之后干得对不对。沙箱能挡住删库，挡不住一份算错的报表。

「策略写完就一劳永逸。」 这个设计最值得看的地方，恰恰是它假设策略会变：每次变更都要先算新增权限。静态配置在真实项目里活不过一个迭代。

「开源就等于可以随便上生产。」 0.1.x 是早期版本，Windows 支持还是实验性的，集群侧还依赖网络插件真的执行策略。先在一台机器上跑通，再谈集群。

五、一句话结论

这个运行时的核心不是沙箱技术，是把「agent 能碰什么」变成一份可评审、可证明、可回滚的文件。

信息来源

• NVIDIA/OpenShell 仓库，2026 年 10 月查看

功能与价格以官方公告为准。本文写于 2026 年 10 月 23 日。