Nvidia OpenShell 0.1.x, çekirdek düzeyinde zorunlu sandbox'ları AI agent'lar için doğrulanmış policy'lerle birleştiriyor

Nvidia ne yayınladı

Nvidia, OpenShell'in 0.1.x sürümünü yayınladı; bu açık kaynak runtime, otonom AI agent'larından oluşan filoların dosya okuma, paket kurma, API çağırma ve kimlik bilgisi kullanma gibi gerçek işler yapmasını sağlarken onlara bir makinenin tüm kontrolünü verme(liler). GitHub'daki proje README'sine göre 0.1.x sürümleri istikrarlı bir yayın takvimi, yeni izolasyon ilkeleri, genişletilmiş bir eklenti yüzeyi ve yeni API'ler getiriyor; ayrıca 0.1.0 sürümü için bir yükseltme rehberi sunuluyor. Depo 22 Ekim'de Hacker News ana sayfasına çıktı. Kod Apache 2.0 lisansıyla sunuluyor.

İki kontrol katmanı

Dokümantasyon, agent'ları kısıtlamak için birbirini tamamlayan iki mekanizmayı anlatıyor.

Bunlardan ilki çekirdek düzeyinde zorunlu kılınma. Her agent, çekirdek kontrollerinin hangi dosyalara dokunabileceğine ve hangi sistem çağrılarını yapabileceğine karar verdiği izole bir sandbox içinde çalışıyor ve her ağ bağlantısı sandbox'tan çıkmadan önce policy'ye göre denetleniyor. Kimlik bilgileri sandbox'ın tamamen dışında ele alınıyor: gerçek sırlar agent'a hiç gösterilmiyor ve OpenShell bunları yalnızca policy'nin onayladığı uç noktalara gidecek isteklere ekliyor. Bu tasarım yaygın bir sızma yolunu kesiyor, çünkü manipüle edilmiş ya da ele geçirilmiş bir agent'ın çalabileceği bir API anahtarı zaten yok.

İkincisi ise resmi olarak doğrulanan policy değişiklikleri. Yeni bir policy yürürlüğe girmeden önce OpenShell, onu yeni verdiği tehlikeli erişimleri işaretleyen bir doğrulayıcıdan geçiriyor — örneğin kimlik bilgisi eklenerek yeni bir sunucuya erişim ya da önce kullanılmamış bir API metodunun çağrılması. İşaretlenen değişiklikler otomatik olarak uygulanmak yerine insan incelemesine alınıyor. Bu, izin sistemlerinin zamanla yavaşça genişlemesi sorununa yönelik: her tekil izin tek başına bakıldığında makul görünüyor ve kimse bu birikimi fark etmiyor.

Mimari ve dağıtım

Sistem bir gateway, bir supervisor ve sandbox'lardan oluşuyor; gateway, sandbox'lar, policy ve erişim için kontrol düzlemi görevi görüyor. Desteklenen platformlar Linux, Apple Silicon'da macOS ve WSL 2 altında Windows (hâlâ deneysel); bunlar Docker, Podman veya sanallaştırma katmanı üzerinde çalışıyor. Kurulum, CLI'yi ve yerel bir gateway'i hazırlayan tek bir shell betiğiyle yapılıyor ve varsayılan sandbox imajı, önceden kurulu bir agent içermeyen minimal bir Ubuntu. Dokümantasyondaki ilk çalıştırma, OpenCode kodlama agent'ını ücretsiz bir OpenRouter modeliyle kullanıyor ve agent yeni erişim istedikçe izin verme sürecini adım adım gösteriyor.

Küme dağıtımları için gateway Helm ile kuruluyor ve dokümantasyon, ağ kurallarının geçerli olması için kümenin CNI'sinin NetworkPolicy'yi gerçekten zorunlu kılması gerektiği konusunda uyarıyor.

SDK'lar, skill'ler ve telemetri

Uygulamalar Python, TypeScript (GitHub Packages üzerinden dağıtılıyor), Go ve Rust için SDK'larla bağlanıyor; dokümanlar mümkün olduğu ölçüde SDK ile gateway'i aynı sürümde tutmayı öneriyor. Ayrı bir skill paketi, npx skills add NVIDIA/OpenShell ile kuruluyor ve kodlama agent'larına OpenShell CLI'yi kullanmayı, sandbox policy'leri yazmayı, gateway'leri ve çıkarım yönlendirmesini hata ayıklamayı öğretiyor.

Proje yalnızca işletimsel kategoriler ve sayılarla sınırlı anonim telemetri topluyor. README, sandbox adları, ana makine adları, dosya yolları, prompt'lar, kimlik bilgileri, sağlayıcı veya model adları ya da kullanıcı içeriği toplanmadığını belirtiyor; telemetri bir gateway ortam değişkeniyle kapatılabiliyor ya da ikili dosyadan tamamen derleme aşamasında çıkarılabiliyor.

Neden önemli

Agent'lara shell erişimi verme sorusuna varsayılan yanıt büyük ölçüde bir container ve sonrasında logları iyimserce okumaktı. OpenShell, filo ölçeğinde agent otonomlusu için bunun yerine çekirdek sınırında zorunlu kılınma gerektiği ve her agent'ın neye dokunabileceğinin tek doğruluk kaynağı olarak bildirilmiş bir policy olması gerektiği yönünde bir iddia.

İki ayrıntı öne çıkıyor. Kimlik bilgilerini yalnızca onaylı uç noktalara giden isteklere eklemek, prompt enjeksiyonuyla sızmayı bir prompt sorunu değil mimari bir sorun olarak ele alıyor. Ve policy farkları üzerinde resmi doğrulama çalıştırmak, olgun bir tekniği yeni bir işletimsel soruya uyguluyor — mevcut policy'nin güvenli olup olmadığına değil, önerilen bir değişikliğin hangi yeni riski getirdiğine odaklanarak tehlikeli olanları yürürlüğe girmeden önce bir insana yönlendiriyor.

Uyarılar da var: bu bir 0.1.x sürümü, Windows desteği deneysel ve zorunlu kılınan garantiler, NetworkPolicy yetenekli bir CNI gibi dağıtım seçimlerine bağlı. Ancak dört dilde SDK'lar, Helm desteği ve serbest bir lisansla Nvidia, OpenShell'i bir araştırma demosu değil, agent'lı iş yükleri için altyapı olarak konumlandırıyor gibi görünüyor.