NVIDIA инициировала проект OpenShell для ограничения возможностей ИИ-агентов, который развивается в инкубаторе CNCF Sandbox. Каждый агент рассматривается как недоверенный код с реальными доступами, поэтому его процесс изолируют, а внешний доверенный супервизор дополнительно ограничивает действия.
Управление строится на четырёх уровнях, описанных в YAML-манифестах. Механизм Landlock ограничивает пути файловой системы: каталоги /usr и /etc доступны только для чтения, запись разрешена лишь в /sandbox, /tmp и /dev/null. Перед стартом песочница переключает процесс на обычного пользователя, отзывает системные привилегии Linux и применяет профиль seccomp.
Весь исходящий сетевой трафик по умолчанию запрещён, а разрешения выдаются точечно — для конкретного файла, хоста, порта и HTTP-метода. Внутри песочницы учётные данные видны только как заглушки: супервизор подменяет их на реальные API-ключи на лету и лишь для разрешённых эндпоинтов.
В отличие от обычной NetworkPolicy, OpenShell позволяет, например, утилите curl разрешить только чтение, но не создание задач или тикетов, и обновлять правила без перезапуска контейнера. Взаимодействие с кластером идёт через шлюз по протоколу mTLS, а команды агента не запускаются до подтверждения всех ограничений на уровне ОС.
OpenShell не использует собственный планировщик: внутри работает Agent Sandbox (ресурс agents.x-k8s.io от SIG Apps). Для проверки запросов к Kubernetes API предлагается подключать Kyverno с CEL-политиками, что защищает кластер даже при компрометации шлюза.
В сентябре 2026 года CNCF принял в песочницу два инструмента — OpenShell от NVIDIA и Agent Substrate от Google. OpenShell делает ставку на гранулярный контроль каждого запроса ценой большего расхода вычислительных ресурсов и сетевых задержек, а Agent Substrate решает задачу дешёвого запуска тысяч простаивающих агентов.
Для тестирования подготовлен демо-репозиторий: полный цикл разворачивается на Kubernetes 1.35 с Cilium 1.20, Agent Sandbox v1.0.5, OpenShell 0.1.3 и Kyverno 1.18.2.