NVIDIA OpenShell

Un runtime qui confine les agents

NVIDIA OpenShell est un runtime open source, publié sous licence Apache 2.0, qui exécute des flottes d'agents IA autonomes dans des sandboxes isolées au niveau du noyau. Ce que chaque agent peut toucher (fichiers, processus, réseau, identifiants) se déclare dans une politique YAML qu'OpenShell applique pendant l'exécution. Par défaut, tout trafic sortant est refusé.

NVIDIA l'a présenté le 16 mars 2026 à la GTC, dans son Agent Toolkit et dans NemoClaw, la pile qui l'installe avec les modèles Nemotron pour OpenClaw. La version 0.1.0 est publiée le 25 septembre 2026, après plus d'une centaine de versions 0.0.x ; le 28 septembre, OpenShell devient la pièce logicielle de la NVIDIA Open Agent Safety Platform. La page des releases du dépôt fait foi pour la version courante.

Architecture

OpenShell se compose de trois éléments :

• la gateway, plan de contrôle qui gère le cycle de vie et les politiques des sandboxes, déployable avec Helm sur Kubernetes ;
• la sandbox, qui exécute l'agent sous Landlock (accès limité aux chemins déclarés) et seccomp (blocage des appels système d'escalade), sans chemin réseau direct ;
• le superviseur, apparié à chaque sandbox et placé hors de la charge de l'agent, qui confronte chaque requête sortante à la politique compilée en OPA/Rego.

Ce que la politique contrôle

Une règle réseau nomme un hôte, un port et le binaire autorisé. Pour HTTP, GraphQL et MCP, le superviseur inspecte chaque requête : il peut autoriser une lecture et refuser une écriture sur la même API. Les identifiants sont gérés comme des providers : l'agent ne manipule qu'une valeur de substitution, remplacée par la vraie clé hors de la sandbox et seulement vers un point d'accès autorisé. Chaque décision part dans un journal au format OCSF.

Le prouveur de politique, fondé sur un solveur SMT, vérifie qu'une politique n'accorde rien au-delà d'une politique maximale ; il couvre fichiers, processus, Landlock, réseau et REST, et signale qu'il ne peut pas conclure sur les règles GraphQL ou MCP. Le conseiller de politique, désactivé par défaut, permet à un agent bloqué de proposer une règle étroite, soumise à revue humaine : l'agent ne peut pas approuver sa propre demande.

Compatibilité et limites

NVIDIA le donne compatible avec Claude Code, Codex, OpenCode, GitHub Copilot CLI, OpenClaw, Pi et Hermes, ainsi qu'avec des agents maison. Il tourne sur Docker, Podman, des microVM ou Kubernetes, sans matériel NVIDIA particulier. Cadence, Slack, Gecko Robotics et SAP (runtime de Joule Studio) figurent parmi les premiers adoptants.

L'analyse des politiques entre plusieurs agents reste un travail en cours selon NVIDIA. La gateway envoie par défaut une télémétrie anonyme de catégories et de compteurs, désactivable par la variable OPENSHELL_TELEMETRY_ENABLED=false.