Контейнер — это комната, а не система разрешений
AI-агенты представляют собой существенный новый риск: разработчики регулярно предоставляют таким инструментам, как Claude Code или Codex, широкий доступ к конфиденциальным репозиториям, API и учетным данным, а затем оставляют их работать без присмотра. Это удобство часто достигается ценой безопасности, поскольку полезность агента напрямую связана с его доступом к критически важным ресурсам.
Обычные контейнеры, хотя и эффективны для изоляции хоста, не могут различать нюансы действий. Например, подключение к GitHub позволяет как читать данные, так и вносить деструктивные изменения. Контейнер видит только трафик по одному и тому же адресу, не в силах определить, просто ли агент просматривает код или активно создает тикеты.
Новая open-source «песочница» NVIDIA, OpenShell, устраняет этот пробел. Написанная на Rust и распространяемая по лицензии Apache 2.0, OpenShell контролирует, что именно агент может делать с предоставленным доступом, а не просто имеет ли он доступ к ресурсу. Важно отметить, что она не требует NVIDIA GPU и работает на стандартном оборудовании.
Дизайн OpenShell, ориентированный на политики, обеспечивает детальный контроль над доступом к файлам, системными вызовами и сетевыми соединениями. Она работает по принципу «запрещено по умолчанию», что означает, что агенты не могут ничего сделать, пока им не будет дано явное разрешение. Это гранулярное принудительное исполнение — значительный шаг вперед по сравнению с базовой контейнеризацией.
Вышибала проверяет каждый выход
OpenShell состоит из трех основных компонентов: Gateway выступает в роли интерфейса и плоскости управления; Supervisor обеспечивает соблюдение политик и выступает посредником для учетных данных; а Sandbox предоставляет ограниченную среду, в которой выполняется агент. Единственный путь выхода из Sandbox проходит через Supervisor, что гарантирует посредничество при всех внешних взаимодействиях.
Поведение «запрещено по умолчанию» является центральным элементом модели безопасности OpenShell. Ограничения файловой системы и процессов на уровне ядра с самого начала блокируют несанкционированные пути и повышение привилегий. Любой сетевой запрос от агента должен пройти через Supervisor, который проверяет его на соответствие заранее заданным политикам.
Рассмотрим политику, разрешающую бинарному файлу curl выполнять запросы только на чтение к API GitHub. Supervisor разрешает это. Однако, если тот же бинарный файл curl попытается выполнить несанкционированный POST-запрос для создания тикета, Supervisor отклонит его. Эти политики обновляются в реальном времени с помощью команды openshell policy update без перезапуска «песочницы», и каждое отклонение протоколируется, обеспечивая четкий аудиторский след.
Критически важно, что агент никогда не работает с учетными данными напрямую. Supervisor внедряет токены только для одобренных запросов, предотвращая утечку через prompt injection. Даже DNS-разрешение происходит через Supervisor, что ограничивает видимость и возможности контроля агента. Такая архитектура гарантирует, что даже в случае компрометации агента у него не будет ключей для утечки.
Умная часть: ваш агент никогда не держит ключ
Самая остроумная особенность OpenShell — это маскировка учетных данных (credential masking): агент никогда не хранит напрямую конфиденциальные API-ключи или токены. Вместо этого Supervisor удерживает эти секреты, внедряя их только в одобренные исходящие запросы, соответствующие установленной политике. Такая конструкция значительно уменьшает поверхность атаки для prompt injection, поскольку у агента нет учетных данных, которые он мог бы скомпрометировать.
Перед тем как любые изменения политики вступают в силу, OpenShell использует Z3 solver в качестве формального верификатора. Этот математический движок оценивает предлагаемые изменения политик, вычисляя полный объем вновь предоставленного доступа. Эта проактивная проверка помогает выявить рискованные правила, такие как непреднамеренные подстановочные знаки или чрезмерно широкие разрешения, предотвращая их развертывание.
Хотя существуют альтернативы — Docker обеспечивает базовую изоляцию, sandbox runtime от Anthropic предлагает более легкую настройку, а хостинговые решения, такие как E2B или Daytona, предоставляют управляемое выполнение — OpenShell занимает свою нишу. Он делает упор на self-hosted, управляемый политиками контроль агентов, работая поверх контейнерных сред выполнения, таких как Docker, Podman или Kubernetes. Для тех, кто интересуется архитектурой и участием в open-source, проект доступен на NVIDIA/OpenShell на GitHub.
OpenShell знаменует собой переход от простого вопроса «может ли агент получить к этому доступ?» к вопросу «что агенту разрешено с этим делать?». Телеметрия NVIDIA показывает, что за две недели этого лета OpenShell создал более 550 000 «песочниц» и заблокировал 4,2 миллиона действий агентов, что подчеркивает его активную роль в обеспечении границ безопасности агентов.
Нравится статья? Получайте такие каждое утро на почту.
одно письмо в день · отписка в два клика · без сторонних трекеров
Полезные защитные барьеры, а не силовое поле безопасности
OpenShell предлагает полезные защитные барьеры, а не силовое поле безопасности. Его ранняя стадия развития очевидна: несмотря на значительный интерес со стороны экосистемы, включая Cisco, CrowdStrike, Google Cloud и Microsoft Security, версия проекта — всего 0.1.5, что помечено как «early preview». Телеметрия включена по умолчанию и анонимно подсчитывает события, хотя ее можно отключить с помощью переменной окружения.
Пользователям Mac следует учесть, что «песочницы» OpenShell основаны на Linux и работают внутри виртуальной машины Docker Desktop. Это требует включения функций ядра, таких как Landlock и host networking, которые часто отключены по умолчанию. Собственная команда doctor от NVIDIA может показывать статус «green», но рекомендуется провести тестирование.
Внутренняя телеметрия NVIDIA сообщает об ошеломляющей активности: более 550 000 созданных «песочниц» и 4,2 миллиона заблокированных действий агентов за двухнедельный период. Эти цифры подчеркивают масштаб попыток агентов выйти за рамки дозволенного, которые перехватывает OpenShell. Однако NVIDIA также сообщила, что около 12% созданий «песочниц» за тот же период завершились неудачей; это данные корпоративной телеметрии, а не независимый аудит.
Для более простого локального программирования с использованием инструментов вроде Claude Code может быть достаточно базового контейнера или Anthropic Sandbox Runtime с меньшими затратами на настройку. Но для агентов, работающих с реальными учетными данными или выполняющих длительные задачи без присмотра, правила OpenShell для каждого запроса и маскировка учетных данных неоценимы. Тщательная разработка политик остается критически важной, так как «песочницы» снижают риски, но не могут устранить все потенциальные уязвимости.
Часто задаваемые вопросы
Что такое NVIDIA OpenShell?
OpenShell — это open-source среда выполнения для ограничения доступа AI-агентов к файлам, процессам и сети с помощью политик, применяемых вне самого агента.
Требует ли OpenShell наличие NVIDIA GPU?
Нет. В видео показано, как он работает на Mac; OpenShell не зависит от аппаратного обеспечения NVIDIA GPU.
Чем OpenShell отличается от Docker?
Docker изолирует контейнер, в то время как OpenShell добавляет детальный контроль, включая правила того, какой процесс может обращаться к конкретным сетевым эндпоинтам и операциям.
Предотвращает ли OpenShell все риски безопасности, связанные с AI-агентами?
Нет. Он ограничивает доступ агента, но не является полной гарантией безопасности; конфигурация, границы изоляции и зрелость программного обеспечения по-прежнему имеют значение.