NVIDIA/OpenShell 0.1.x：用策略限制自主 AI 代理的存取

發生什麼事

NVIDIA/OpenShell 是 GitHub 上的專案，專案頁面把 OpenShell 描述為「safe, private runtime for fleets of autonomous AI agents」，也就是為大量自主 AI 代理打造的安全私密執行環境（runtime，指程式運行時的環境）。頁面指出，代理能讀檔案、安裝套件、呼叫 API（應用程式介面，程式之間互相要求服務的方式）、使用憑證（存取服務用的登入資訊）時最有用；OpenShell 提供這些能力，但不給代理對資料、機密或網路的不受限存取。使用者在策略（policy）中宣告每個代理能碰什麼，由 OpenShell 執行。 github.com Reddit r/LocalLLaMA

管控分兩種。第一是核心層強制：OpenShell 在執行時，對每次檔案存取、系統呼叫（程式向作業系統核心請求服務）與網路連線強制套用策略。每個代理跑在隔離的 sandbox（沙箱，與主機隔開的執行空間）中，網路連線離開沙箱前都要過策略檢查。代理看不到真實憑證，OpenShell 只會把憑證加到送往已核准端點（endpoint，請求送達的服務位址）的請求上。 github.com

第二是形式化驗證（formal verification，以數學方式檢查變更會允許什麼）：策略變更核准前，OpenShell 會標出風險較高的新存取，例如帶著憑證連到新主機、或呼叫新的 API 方法，這類變更要等人工審查。 github.com

頁面開頭列出 OpenShell 0.1.x 的新內容：穩定的發版節奏、新的隔離基本元件（isolation primitives，來源原文只寫這個名稱，未說明細節）、擴充的延伸介面，以及新的 API，並附 0.1.0 升級指南。頁面未說明這些項目的細節。 github.com

誰受影響

想讓代理讀寫檔案、裝套件、呼叫 API 的開發者會用到這套環境。安裝需要 Linux、Apple Silicon（蘋果自家晶片）的 macOS，或 Windows 搭配 WSL 2（在 Windows 上執行 Linux 的子系統，標示為 experimental），另需 Docker、Podman（兩者皆為容器工具）或主機虛擬化（在主機上以虛擬化技術建立隔離的執行環境）。安裝程式會設定 CLI（命令列工具）與本機 gateway（閘道，文件稱其為沙箱、策略與存取的控制平面）；預設沙箱映像是未安裝任何代理的極簡 Ubuntu（Linux 發行版）。 github.com

要在 Kubernetes（容器叢集管理系統）上部署 gateway，文件指示用 Helm（Kubernetes 的套件部署工具），且 CNI（容器網路介面）必須強制 NetworkPolicy（Kubernetes 的網路規則）。應用程式端則有 Python、TypeScript、Go、Rust 的 SDK（軟體開發套件）；SDK 不安裝 CLI，文件建議 SDK 與 gateway 盡量使用同一個 OpenShell 版本。 github.com

限制與未定事項

Windows 搭配 WSL 2 的支援在文件中標為 experimental。OpenShell 會收集匿名遙測（telemetry，使用情況統計），限於營運類別與數量，文件說不收集沙箱名稱、主機名稱、檔案路徑、提示詞、憑證、供應商或模型名稱與使用者內容；可在 gateway 設定 OPENSHELL_TELEMETRY_ENABLED=false 關閉，Helm 安裝則用 server.telemetryEnabled=false。軟體以 Apache License 2.0 授權，並依 AS IS 提供，不附任何保證。 github.com