英伟达给 AI 代理造了间牢房，叫 OpenShell，版本号还是 0.0

让编程智能体直接在自己机器上跑，总有点提心吊胆：它要读文件、装依赖、调 API、用密钥，权限给少了干不了活，给多了哪天被提示注入，后果说不好。

NVIDIA 开源的 OpenShell 就是奔这个去的，有人形容它是给 AI 代理造的监狱。

它管代理的办法分两层。第一层在运行时，通过内核层面强制执行策略，文件访问、系统调用、网络连接都要过一遍。第二层是形式化验证：改策略之前先算一下，这次改动会不会带来新的权限，防止你为了省事放开一条规则，结果连带开了个高风险口子。

第二层是它和普通沙箱不一样的地方。多数人配权限是越配越宽的，每次报错就加一条，几个月后谁也说不清放开了什么。

权限能配到很细。比如允许读 GitHub API，但禁止发布。

支持面也够广，Claude Code、Codex、OpenCode、GitHub Copilot CLI 都能接，还有 Ollama、OpenClaw、Hermes Agent。去年 10 月，NVIDIA 还在此基础上做了企业参考架构，覆盖 Anthropic、Cohere、谷歌、Meta、OpenAI 等八家模型厂商的代理。

该泼的冷水也有。项目版本号从 0.0 开始，公开的生产实践很少。内核级的东西，出问题时排查成本不低，个人开发者为了跑个代理装这一套，多半嫌重。

形式化验证也只能告诉你权限有没有变大，代理在已授权的范围里干了蠢事，它管不着。删库的权限如果你给了，它还是能删。