OpenShell 要解决的问题很具体：智能体只有能读文件、装包、调 API、用凭据才有用，但这等于把数据和密钥都交出去。它的做法是两层——内核层强制：每个智能体跑在沙箱里，文件访问、系统调用、网络连接全部在运行时被策略拦截，凭据永不暴露给智能体，只有在请求发往已批准端点时才注入；策略层形式化验证：策略变更生效前先证明它会新增哪些访问，比如连新主机带凭据、调新 API 方法，这类变更必须人工批准。
🔑 核心要点
内核级策略执行：每次文件访问、系统调用、出网连接都过一次策略检查。
凭据不出沙箱：智能体看到的是占位符，OpenShell 只在发往白名单端点时把真凭据塞进请求。
策略变更用形式化验证做前置审查，把「会多给什么权限」在批准前算清楚。
Apache-2.0，PyPI 可装，支持 Linux / Apple Silicon macOS / WSL2，也能用 Helm 部署到 K8s。
💡 金句
OpenShell gives them that capability without giving them unrestricted access to your data, secrets, or network.