实测 NVIDIA OpenShell 沙箱：自动批准模式下智能体 12 次全部获得新主机访问

NVIDIA 开源智能体沙箱 OpenShell，实测暴露审批依赖局限

2026 年 10 月 22 日，Reddit r/LocalLLaMA 报道 NVIDIA 开源了面向自主 AI 智能体的沙箱运行时 OpenShell（Apache 2.0 许可）。它通过内核插桩在运行时对每次文件访问、系统调用和网络连接执行策略，让智能体可以读文件、装包、调 API 和使用凭证，同时限制其对数据、密钥和网络的访问；每个智能体运行在隔离沙箱中且看不到真实凭证。策略变更在生效前经形式化验证，标记新增风险访问并等待人工审核。0.1.x 版本提供稳定发布节奏、新的隔离原语、扩展面和 API，支持 Linux、macOS（Apple Silicon）和 WSL 2（实验性），提供 Python、TypeScript、Go、Rust SDK 及 Helm 部署，并附可安装的 Agent Skills。10 月 23 日，r/AI_Agents 一篇实测跟进（使用 OpenShell 0.1.2 加本地 qwen3:8b 智能体）显示：默认策略下 10 次数据外泄全部被拦截，但开启 auto-approve 后 12 次试验中新公共主机全部被自动放行，沙箱甚至自拟放行规则；GET only 规则仍可通过 query string 和 headers 泄漏，GraphQL、MCP、WebSocket、JSON-RPC 规则虽被标记不支持但仍被加载，审计模式默认放行仅记录流量。作者强调这些均为文档化行为而非漏洞，沙箱的实际严格程度取决于人工审批环节。目前事件进展为：项目已开源发布 0.1.x 版本，社区实测指出其在自动批准等模式下的安全边界。