代理不该握着你的 API key：NVIDIA 开源了强制这一点的运行时
来源：dev.to — 2026-10-23
📋 概述
今天每个代理进程的环境变量里都躺着 API key 和云凭据，一次提示注入就能外泄，2026 年最流行的那个 LLM 代理包在 PyPI 上已经被攻陷过两次。NVIDIA 本周在 GitHub 开源了 OpenShell（Apache 2.0），由网关、supervisor 和沙箱三部分组成，默认沙箱是极简 Ubuntu，可选 GPU 直通，规模化走 Kubernetes Helm。它的策略覆盖文件系统、网络与进程，且在内核层执行：每一次文件访问、系统调用和网络连接都在运行时被检查，而不是靠一个代理可能忘记调用的包装库。
🔑 核心要点
- 凭据从代理进程里被拿走：网关保存 provider 记录，只有发往已批准端点的请求才注入真实密钥。
- 被攻陷代理的爆炸半径从「环境里的每一把钥匙」缩小为「这份策略点名的端点」。
- 策略变更在人工批准之前，先过一遍 Z3 SMT 证明器。
- 默认沙箱里不带任何代理，你自己的代理两个命令就能接进来。
💡 金句
“The blast radius of a compromised agent stops being "every key in the environment" and becomes "the endpoints this sandbox's policy named".”
译：被攻陷代理的爆炸半径，从「环境里的每一把钥匙」变成「这套沙箱策略点名的那些端点」。
← 返回 dev.to 首页