NVIDIA OpenShell: безопасная среда для автономных AI-агентов
NVIDIA выпустила OpenShell — open-source runtime с изоляцией на уровне ядра для безопасного запуска автономных AI-агентов. Apache 2.0, поддержка Kubernetes, SDK для Python/Go/Rust.
Что произошло
NVIDIA представила OpenShell на конференции GTC San Jose 2026 — open-source runtime, который запускает автономных AI-агентов в изолированных sandbox-средах с защитой на уровне ядра операционной системы. Проект опубликован под лицензией Apache 2.0, а на GitHub он уже набрал 8,6 тыс. звёзд и 1 390 коммитов.
Проблема, которую решает OpenShell
По мере того как AI-агенты получают доступ к инструментам и внешним системам, вопрос безопасности становится всё острее. Модель можно проинструктировать вести себя безопасно, но инструкции не создают жёсткой технической границы вокруг того, к чему агент имеет доступ.
Философия OpenShell проста: безопасность живёт в среде, а не в модели или приложении. Ничего не разрешено по умолчанию; разрешения выдаются через политики, а исполнение происходит за пределами процесса агента — там, куда нельзя добраться через промпт или обойти. Каждое разрешение и каждый отказ поддаётся аудиту.
Безопасность агента — это не вопрос промптов. Это вопрос среды выполнения.
Как это работает
OpenShell строится вокруг трёх компонентов: gateway (шлюз), supervisor (супервизор) и sandbox (изолированная среда). Вот как они взаимодействуют:
graph TD
A[AI-агент] -->|запросы| B[Sandbox]
B -->|системные вызовы| C[Kernel / Landlock LSM + seccomp BPF]
B -->|сетевые запросы| D[Gateway]
D -->|проверка политики| E{Политика разрешает?}
E -->|Да| F[Внешний API / endpoint]
E -->|Нет| G[Отказ + аудит-лог]
H[Supervisor] -->|формальная верификация| D
H -->|управление жизненным циклом| B
Изоляция на уровне ядра
OpenShell использует механизмы безопасности Linux: Landlock LSM для контроля доступа к файловой системе и seccomp BPF для фильтрации системных вызовов. В каждом sandbox по умолчанию действует запрет на исходящие сетевые соединения — прокси блокирует любые подключения, не объявленные в сетевой политике.
Настоящие credentials (токены, ключи) никогда не попадают в рабочую среду агента — они подставляются только для авторизованных endpoint’ов. Каждое разрешение и каждый отказ фиксируется для аудита.
Формальная верификация изменений политик
Перед применением изменений в политике система использует формальную верификацию, чтобы заранее выявить риски. Если новое правило открывает доступ к ранее недоступному хосту с credentials или к новому методу API — изменение помечается и ждёт ревью человека.
Быстрый старт
Для работы нужен Linux, macOS на Apple Silicon или Windows с WSL 2 (экспериментально), а также Docker, Podman или host-виртуализация.
# Установка
curl -LsSf https://raw.githubusercontent.com/NVIDIA/OpenShell/main/install.sh | sh
# Создание sandbox
openshell sandbox create --name demo
Установщик разворачивает CLI и локальный gateway. Образ sandbox по умолчанию — минимальный Ubuntu без агента.
SDK и языки
OpenShell предоставляет SDK для подключения приложений к gateway:
| Язык | Установка |
|---|---|
| Python | uv add openshell |
| TypeScript | npm install @nvidia/openshell-sdk |
| Go | go get github.com/NVIDIA/OpenShell/sdk/go@latest |
| Rust | cargo add openshell-sdk --git https://github.com/NVIDIA/OpenShell |
Обучить вашего coding-агента работе с OpenShell можно одной командой:
npx skills add NVIDIA/OpenShell
Навыки учат агента управлять CLI, писать политики sandbox и дебажить routing.
Контекст: Open Agent Safety Platform
OpenShell — это программная часть более широкой Open Agent Safety Platform. Вторая составляющая — NVIDIA Sentry, независимый слой мониторинга, работающий на ускорителях BlueField-4 DPU отдельно от чипа, на котором работает сам агент. Он способен обнаружить и изолировать нежелательное поведение за миллисекунды.
Как open-source проект, OpenShell может быть расширен для работы со сторонними вычислительными платформами, включая Arm и Intel.
Более 100 организаций уже работают с платформой, среди которых Anthropic, Microsoft, Oracle, SpaceX, Cisco, CrowdStrike, Palantir и Salesforce. Anthropic сообщила, что Claude Managed Agents теперь интегрированы с платформой для расширенного управления.
Что это значит для отрасли
С OpenShell предприятия могут разделить поведение агента, определение политики и исполнение политики. Организации получают единый унифицированный слой политик для определения и мониторинга работы автономных систем. Coding-агенты, исследовательские ассистенты и агентские воркфлоу работают под одними и теми же политиками runtime вне зависимости от ОС хоста — это упрощает compliance и операционный контроль.
OpenShell задаёт новую норму для индустрии: безопасность AI-агентов перемещается с уровня промптов и application-кода вниз по стеку — на уровень ядра и железа. Это сигнал рынку о том, что эпоха «агентов на доверии» заканчивается.