NVIDIA的Ali Golshan说沙箱过时了，评论区先不同意

NVIDIA的Ali Golshan在GTC Berlin接受Hesamation访谈，说了一句很冲的话：把sandboxing用到agent上，是过时技术。他负责NVIDIA开源agent runtime OpenShell。按原文，OpenShell已经内置进Anthropic的Claude Managed Agents。

Ali在访谈里给OpenShell划了三个重点：

• agent从零权限开始
• 只有必要时才给更多访问权
• secrets留在受控边界外，agent不能直接访问

访谈章节也标得很清楚：1:15 AI安全风险是否被夸大；6:06 是否需要新的AI监管；7:47 OpenShell是什么，它和sandbox有什么区别；10:20 OpenShell能不能拦住Hugging Face那类事件；13:44 alignment与security；16:04 进入AI安全领域的建议。

争议点就在7:47。Ali说sandbox过时，但OpenShell的设计听起来像把sandbox做得更细：默认不给权限，再按任务需要提权，同时把密钥隔在外面。X用户AI Quanting的回复很直接：零权限加按需提权，本来就是sandbox应该做的事。把这个想法叫过时，对产品叙事有利，对技术边界没多少解释力。

回复区里还有几个追问，比“过时”两个字更具体。

X用户Elvis Sautet提到Factory刚发布Droid 1.0，关键做法是让agent写一个运行在沙箱里的JS程序，再触发数百次工具调用。工具调用越密集，越需要那个box。X用户Benjamin Wolfe说，真正的边界是每个任务使用范围受限、短时效的密钥。只有sandbox没有这套密钥管理，安全感是虚的。X用户Jatin Garg补了一刀：broker还得拒绝来自已授权agent的有害请求。X用户Samuel Jefroykin问，任务中途谁批准额外权限，人还是另一个agent，事后有没有使用记录。X用户Steve ReinharzAI则把难点放在审计链上：agent不持有原始密钥，确实更难泄露；但人得能回看哪些授权被用过，为什么用。

回复区还挂出一条更硬的案例。X用户llevy说，他在一个被很多人使用的开源agent里发现了间接提示注入导致的RCE，包含沙箱逃逸。两个多月没有补丁，维护者沟通很差。他问要不要公开披露。下面有人回，两个月的沉默就是答案；也有人建议给一个书面截止日期，过了就发。

这条案例把讨论拉回地面。沙箱这个词可能旧，权限、密钥、失败关闭和审计记录一点都不旧。Ali对OpenShell的描述值得看，零权限、按需授权、密钥隔离都是真问题。但把sandbox说成过时，容易把真正要考的题遮住：工具出错时能不能默认拒绝，密钥能不能不落到agent手里，权限提升能不能被记录和追问。OpenShell如果能把这几件事做成默认，再谈“过时”才有分量。否则只是换了个说法。