NVIDIA 说沙箱过时了，评论区先不同意

NVIDIA AI 软件高级总监 Ali Golshan 在 GTC Berlin 接受 Hesamation 采访，给 OpenShell 定了个调：传统 sandbox 不够用。他负责 NVIDIA 开源的 agent runtime OpenShell，这套东西已经内置到 Anthropic 的 Claude Managed Agents。

Golshan 对 sandbox 的定义抓得很准：它本来要干的事，是让东西出不去，或者让东西进不来。问题在于 agent 两件事都得做。它要能调用外部工具、访问网络、读取任务相关数据，同时又得把不该碰的秘密挡在外面。传统 sandbox 像一个固定的盒子，agent 却是一个带着工具、密钥和记忆到处走流程的执行者，风险会跟着每一步移动。

按 Golshan 的说法，OpenShell 的机制有三条：agent 从零权限开始；只有任务确实需要时才给更多访问权；secrets 留在 containment 外面，agent 不能直接拿到。听起来像把安全边界从静态隔离改成动态授权。

评论区没有停在转发。David Arnal 说，零权限起步是合理设计，真正的考验是扩权时能不能不制造新的泄密路径。AI Quanting 更直接：零权限加按需扩权，本来就是 sandbox 该做的事，把 sandbox 叫 antiquated，这个说法给产品帮了不少忙。Benjamin Wolfe 认为，真正边界是每个任务配短期、限定范围的密钥，没有这个，sandbox 只是感觉安全。Jatin Garg 补了一句，broker 仍然要拒绝已经授权 agent 发出的有害请求。Joel Stahre 提到另一面：agent 要连开放互联网才有用，而 prompt injection 恰好住在那里。

原推链接：https://x.com/Hesamation/status/2117315362081456589

引用推文链接：https://x.com/Hesamation/status/2116615587736510835

把 sandbox 叫过时，产品却把零权限、按需扩权、密钥隔离做成了卖点。评论区当然会问：这套东西和 sandbox 的差别，是实现，还是命名？OpenShell 要回答的也不只是概念问题。最小权限怎么执行，密钥生命周期怎么管，授权后的请求怎么拒绝，工具走偏时能不能 fail closed。这些细节决定了 agent 安全是换了个盒子，还是换了一套权限流。