不允许网络访问的沙盒创建示例（未经实机验证）

本文是利用AI生成的的技术解析与实现示例。所发布的代码与步骤基于一手资料构建，但作者并未在实机上进行运行验证。根据环境与版本的不同，实际运行效果可能会有所差异。

NVIDIA OpenShell 0.1.0 是一个开源运行时，用于安全管理AI代理的运行权限及数据访问。本文根据官方信息，对其主要功能与组成部分进行梳理。

目的

当让AI代理执行自主任务时，如果赋予其过大的权限，将会产生意外修改或信息泄露的风险。通过利用NVIDIA OpenShell，无需重写代理自身的代码，即可在运行时层面构建限制API操作、保护凭证以及验证策略的机制。

前提与注意事项

• 本文所讲解的内容基于一手资料，未经实机运行验证。

• NVIDIA OpenShell 0.1.0 通过将沙盒执行、受控的服务访问、凭证管理以及形式化策略分析相结合来实现其功能。

• Cadence、Slack、Gecko Robotics等组织已在芯片设计、企业自动化以及物理机器人技术的治理中采用了OpenShell。

OpenShell的主要组成部分

为了管理代理集群和沙盒，OpenShell主要配备了以下三个组件。

flowchart TD
    A[OpenShell Gateway] --> B[OpenShell Supervisor]
    B --> C[OpenShell Sandbox]
    C -->|内核级控制| D[文件系统与进程]
    B -->|流量检查| E[外部服务]

• OpenShell Gateway：管理大量沙盒的生命周期和策略。

• OpenShell Supervisor: 与各个沙盒配对，在代理工作负载外部运行，针对策略验证出站请求。

• OpenShell Sandbox: 使用内核级文件系统和进程控制来运行工作负载，除了通过监督者（Supervisor）之外没有其他网络路径。

OpenShell 0.1.0的主要功能

本文梳理了一手资料中记载的主要功能及其作用。

策略实施与日志查看机制

在 OpenShell 中，可以使用 YAML 格式定义并实施针对沙盒的网络访问和策略。例如，如果创建一个完全限制出站网络的沙盒并尝试访问公共端点，请求将由于策略而失败。

# 不允许网络访问的沙盒创建示例（未经实机验证）

openshell sandbox create --name policy-demo \
  --no-auto-providers \
  --policy examples/no-network.yaml

通过查看宿主机端的终端日志，您可以了解哪个程序发起了请求以及它为什么被阻止。此外，通过应用只读的 GitHub REST API 策略等，可以实现即使是同一个 API，也允许读取但阻止写入的控制。

凭证保护与策略顾问

如果 AI 代理在运行期间需要新的数据源或服务，当请求被策略阻止时，OpenShell 会记录该拒绝记录。

• 策略顾问：如果启用，代理可以提议对网络或文件策略进行范围狭窄的更改。此提议默认需要人工审查，代理自身无法批准。

• 凭证隔离：提供商配置文件定义了凭证、端点和允许的程序。实际凭证保留在代理外部，仅在对允许的端点发出的请求中进行替换。

形式化策略验证与部署

为了确认策略没有留下非预期的路径，OpenShell 的策略验证器使用了形式逻辑。通过这种方式，可以验证建模后的权限是否保留在边界之内，或者是否能够识别出越界的操作。

在开发时，您可以从本地沙盒开始；在向多用户提供服务的阶段，可以按照工作区和访问指南来使用 SDK。计算驱动程序支持与 Docker、Podman、MicroVM 以及 Kubernetes 进行集成。

总结

• NVIDIA OpenShell 0.1.0 是一种开源机制，它无需重写 AI 代理的代码，即可在运行时强制实施权限。

• 通过网关、监督者和沙盒的协同工作，实现了内核级别的控制与流量检查。

• 本文介绍的步骤和命令基于一手资料，实际操作和前提条件可能会因使用环境和版本而异。在实际部署和验证时，请务必查阅官方文档以及最新的迁移说明。

参考信息

• 使用 NVIDIA OpenShell 为 AI 代理添加运行时控制