原始来源：NVIDIA
发现渠道：Hacker News · 原讨论
Agent 读文件、安装包和调用 API 时，需要实际执行权限。NVIDIA OpenShell 提供一层运行环境：每个 Agent 在隔离沙箱里工作，文件、系统调用和网络访问受策略约束；真正的凭据由环境在发往获准端点的请求中加入，避免把完整秘密交给 Agent。这里介绍的是现有 0.1.x 系列及当前文档，不把热榜再次出现当成今天首次发布。
一个值得细读的部分是策略证明器。它使用 SMT 求解器，检查候选策略允许的访问是否超出用户给定的最大边界。例如，父 Agent 为子 Agent 写策略时，可以检查子策略没有扩大访问。另有网络规则提案风险检查，判断相对当前策略新增的危险访问。这两个问题不同，通过其中一种，不代表通过另一种。
当前边界模型覆盖文件系统、进程身份、Landlock 设置、网络连接和 REST 请求。涉及未建模的 GraphQL、MCP 等规则时，工具会报告无法支持；超时或资源不足也不是通过。文档明确，边界检查只证明建模范围内的包含关系，不证明策略已经足够窄、适合任务，或运行中的沙箱确实执行了这些限制。它把一个模糊的“安全”承诺拆成了可检查的具体命题。
可信度 65 · 重要性 85 · 新颖度 78
技术与主题
Agent 系统 · AI 编程 · Sandboxing · Formal Verification · Policy Enforcement
lcampbell
回应原帖：原帖讨论
HN 对 OpenShell 默认遥测的讨论；没有提交运行抓包或泄漏证据。
忠实转述（非原句）：他认为以“例如”列举采集范围还不够具体，想知道完整字段；同时认可项目提供关闭方式。这个意见针对说明是否便于审计，不能转述成已经发现敏感数据被上传。
dangoodmanUT
回应原帖：原帖讨论
同一讨论中的产品适用性判断，非系统性部署评估。
忠实转述（非原句）：他认可细粒度限制的方向，也担心个人用户为此承担过重的基础设施复杂度，因此更看好企业场景。这个取舍需要结合运行方式判断，不能仅因项目支持 Kubernetes 就认定所有用户都必须部署 Kubernetes。
编辑评读
这类工具的新能力，是让权限变化可以先被比较、解释，再交给人决定。代理提出增加访问时，审批者有机会看到新增的主机、凭据去向或 API 方法，而不必仅凭自然语言“为了完成任务需要更多权限”批准。价值来自把申请转换成可以核对的对象。
但证明器与运行环境之间仍有接口。证明使用完整有效策略，包含关联 provider 加入的规则；如果检查的是少了一部分规则的文件，结论就无法覆盖真实沙箱。路径还可能受符号链接影响，因此某些看似显然的子目录包含关系也会返回 unsupported。这种拒绝猜测有助于暴露建模边界。
社区讨论还关心默认遥测和部署负担。README 声明不采集提示词、凭据、路径或用户内容，并给出关闭方式；评论者仍希望采集字段列得更具体。这是控制感与可审计性的合理需求，不是已证实泄漏。本文核对文档和评论，没有部署沙箱或验证隔离强度；采用前仍需用自身有效策略和运行时做对应检查。