Red Hat Nvidia 开源 OpenShell

时间：2026年11月11日 地点：美国盐湖城 人物：Derek Carr（Red Hat 高级杰出工程师）、Mrunal Patel（Red Hat 杰出工程师） 事件详情：Red Hat 与 Nvidia 在 KubeCon + CloudNativeCon NA 2026 大会上宣布扩展合作，共同推进开源项目 OpenShell。OpenShell 是一个专为自主 AI Agent 设计的安全运行时，采用 deny-by-default 网络策略和凭证隔离机制，防止 prompt injection 攻击和数据泄露。Nvidia 已将 OpenShell 贡献给 CNCF，采用开放治理，并选择 Cedar 作为策略语言。 背景：随着 AI Agent 从开发环境进入生产数据中心，prompt injection 攻击和数据泄露成为现实威胁。OpenClaw 等项目的火爆展示了 Agent 的自主行动能力，也让安全风险浮出水面。Red Hat 与 Nvidia 早在 2026 年 10 月就宣布扩大合作，此次在 KubeCon 上展示 OpenShell 是合作的具体落地。OpenShell 的 RFC 0012 已于 2026 年 9 月 10 日合并，将隔离能力变为可插拔后端。 影响：OpenShell 为企业部署 AI Agent 提供了安全蓝图。它通过内核级 enforcement（文件访问、系统调用、网络连接）和形式化验证策略变更，让企业能安全地从第一个 Agent 扩展到大规模生产。Red Hat 计划将 OpenShell 集成到 Red Hat AI 中，作为原生平台能力提供。项目目前提供 Python、TypeScript、Go 和 Rust SDK，并支持通过 Helm 在 Kubernetes 上部署。 总结：OpenShell 目前是 CNCF 沙箱项目，目标是为 AI Agent 安全建立行业标准。Red Hat 和 Nvidia 的合作代表了基础设施厂商对 AI Agent 安全问题的积极回应，也为企业从实验走向生产提供了可行路径。 常见问题： 问：OpenShell 和传统容器安全有什么区别？ 答：OpenShell 专为 AI Agent 设计，提供 deny-by-default 网络策略、凭证隔离和内核级策略执行，而传统容器安全主要关注镜像和运行时隔离。 问：OpenShell 是免费的吗？ 答：OpenShell 是 Apache 2.0 许可的开源项目，代码托管在 GitHub，可免费使用。 参考来源： SiliconANGLE 报道 https://siliconangle.com/2026/11/11/prompt-injection-attacks-drive-red-hat-nvidia-s-openshell-kubeconna/ CNCF 官方博客 https://www.cncf.io/blog/2026/11/10/welcoming-openshell-to-the-cncf-open-governance-to-secure-agentic-ai/ CNCF Kubernetes 指南 https://www.cncf.io/blog/2026/11/11/openshell-on-kubernetes-a-guide-for-platform-engineers/ GitHub 仓库 https://github.com/nvidia/openshell TechTarget 报道 https://www.techtarget.com/news/nvidia-google-agent-sandboxes-meet-within-cncf/874392/ Red Hat 官方博客 https://www.redhat.com/en/blog/red-hat-ai-and-openshell-driving-security-enhanced-agent-execution-for-enterprise-ai