Agent 读文件、安装包和调用 API 时，需要实际执行权限。NVIDIA OpenShell 提供一层运行环境：每个 Agent 在隔离沙箱里工作，文件、系统调用和网络访问受策略约束；真正的凭据由环境在发往获准端点的请求中加入，避免把完整秘密交给 Agent。这里介绍的是现有 0.1.x 系列及当前文档，不把热榜再次出现当成今天首次发布。
一个值得细读的部分是策略证明器。它使用 SMT 求解器，检查候选策略允许的访问是否超出用户给定的最大边界。例如，父 Agent 为子 Agent 写策略时，可以检查子策略没有扩大访问。另有网络规则提案风险检查，判断相对当前策略新增的危险访问。这两个问题不同，通过其中一种，不代表通过另一种。
当前边界模型覆盖文件系统、进程身份、Landlock 设置、网络连接和 REST 请求。涉及未建模的 GraphQL、MCP 等规则时，工具会报告无法支持；超时或资源不足也不是通过。文档明确，边界检查只证明建模范围内的包含关系，不证明策略已经足够窄、适合任务，或运行中的沙箱确实执行了这些限制。它把一个模糊的“安全”承诺拆成了可检查的具体命题。