По мере того как приложения искусственного интеллекта превращаются из простых языковых моделей, отвечающих на вопросы, в «агентов», способных выполнять реальные задачи, такие как запуск команд, установка пакетов и чтение файлов, возникла новая проблема безопасности. Эти агенты, часто работающие на основе данных, полученных из интернета, считаются «ненадежным кодом» (Untrusted Code), имеющим доступ к конфиденциальным данным, что делает их запуск в производственных средах большим риском, если они не изолированы должным образом.
Что такое проект OpenShell?
OpenShell — это проект песочницы (Sandbox) под эгидой фонда CNCF, запущенный компанией NVIDIA, который представляет собой решение для обеспечения изолированной среды выполнения (Runtime) для таких агентов. Проект основан на идее наличия доверенного «супервизора» (Supervisor), работающего вне среды изоляции, который принимает решения о том, к чему агент может получить доступ, на основе заранее определенных политик в YAML-файлах. OpenShell обеспечивает четыре основных уровня контроля:
- Файловая система (Filesystem): с использованием технологии Landlock определяются пути, к которым агент может обращаться для чтения или записи, что предотвращает доступ к критически важным системным файлам.
- Процессы (Process): агент запускается как пользователь без прав суперпользователя (Non-root) с применением протокола seccomp для ограничения системных вызовов.
- Сеть (Network): внешний трафик блокируется по умолчанию, с возможностью разрешения на основе точных правил, включающих имя исполняемого файла, хост, порт и даже метод HTTP-запроса.
- Конфиденциальные данные (Credentials): агент не видит реальные ключи API, а видит «заполнители» (Placeholders), при этом супервизор подставляет фактические ключи только при необходимости и для авторизованных сторон.
Интеграция с Kubernetes и расширенные возможности
В отличие от решений, пытающихся обойти архитектуру Kubernetes, OpenShell опирается на проект Agent Sandbox от SIG Apps. Агенты отображаются в системе как привычные объекты Kubernetes, такие как Pods, Services и Secrets. Ключевым преимуществом здесь является способность OpenShell обеспечивать видимость на уровне 7 (L7); в то время как традиционные сетевые политики (NetworkPolicy) могут разрешить поду доступ к определенному сайту, OpenShell может определить, разрешено ли команде curl считывать данные с GitHub, но запрещено создавать (POST) новые проблемы (Issues).
Техническое сравнение: OpenShell против Agent Substrate
В этой области выделяется еще один проект CNCF — Agent Substrate, и фундаментальное различие между ними заключается в философии проектирования:
- OpenShell: фокусируется на безопасности и точном контроле. Это оптимальный выбор для агентов, которым необходим доступ к производственным системам и требуются строгие политики для каждого запроса (Per-request policy).
- Agent Substrate: фокусируется на масштабируемости и снижении затрат. Он основан на приостановке (Suspending) неактивных агентов вместо выделения отдельного пода для каждого агента, что делает его подходящим для моделей, требующих высокой плотности и низких затрат.
Технические прогнозы указывают на возможность объединения этих двух проектов в будущем, чтобы OpenShell обеспечивал политики контроля, а Substrate — эффективность изоляции и масштабирования.
Почему это развитие важно для инженеров платформ?
OpenShell представляет собой необходимый мост между гибкостью искусственного интеллекта и строгостью безопасности облачных вычислений. Для администраторов Kubernetes уже недостаточно изолировать традиционные контейнеры; стало необходимым контролировать поведение «умного агента» внутри контейнера. Благодаря интеграции с такими инструментами, как Kyverno, инженеры могут внедрять политики допуска (Admission Control), гарантирующие, что агенты работают только с определенными доверенными образами (Images), с установкой лимитов на ресурсы процессора и памяти, что гарантирует, что AI-агент не превратится в источник угрозы безопасности или чрезмерного потребления ресурсов кластера (Cluster).