پروژه OpenShell از انویدیا؛ محیط اجرایی امن و خصوصی برای ایجنت‌های هوش مصنوعی

معرفی پروژه OpenShell

ابزار OpenShell یک ران‌تایم یا محیط اجرایی امن و خصوصی است که به‌طور اختصاصی برای مدیریت ناوگان ایجنت‌های خودمختار هوش مصنوعی طراحی شده است. این روزها ایجنت‌های هوش مصنوعی زمانی بیشترین کارایی را دارند که بتوانند فایل‌ها را بخوانند، پکیج نصب کنند، APIها را صدا بزنند و از مشخصات احراز هویت استفاده کنند. با این حال، دادن دسترسی آزاد به ایجنت‌ها خطر امنیتی بزرگی محسوب می‌شود. پروژه OpenShell دقیقاً همین مشکل را حل می‌کند و به شما اجازه می‌دهد بدون اعطای دسترسی‌های دست‌نخورده و آزاد به شبکه، داده‌ها و رازها، کنترل دقیقی روی عملکرد ایجنت‌ها اعمال کنید.

این پروژه توسط شرکت Nvidia توسعه داده شده و تحت لایسنس متن‌باز Apache-2.0 منتشر شده است. با توجه به آمار گیت‌هاب، این ابزار با استقبال قابل‌توجهی روبه‌رو شده و توانسته ستاره‌های زیادی را به خود اختصاص دهد.

نحوه کار و معماری فنی

سیستم OpenShell از دو مکانیزم اصلی برای کنترل رفتار ایجنت‌ها استفاده می‌کند:

• کنترل در سطح کرنل (Kernel-level enforcement): هر ایجنت درون یک سندباکس یا ایزوله اجرا می‌شود. کنترل‌های کرنل مشخص می‌کنند که ایجنت به چه فایل‌ها و سیستم‌کال‌هایی دسترسی دارد. همچنین تمام اتصالات شبکه پیش از خروج از سندباکس از فیلتر سیاست‌های امنیتی عبور می‌کنند. ایجنت‌ها هیچ‌گاه به کدهای احراز هویت واقعی دسترسی ندارند و OpenShell این اطلاعات را تنها به درخواست‌هایی که به سمت اندپوینت‌های تأییدشده می‌روند، اضافه می‌کند.
• تأیید رسمی تغییرات سیاست (Formally verified policy changes): پیش از اعمال هرگونه تغییر در سیاست‌های دسترسی، OpenShell با استفاده از روش‌های ریاضی و تأیید فرمال (Formal Verification)، خطرات احتمالی مانند دسترسی به هاست‌های جدید یا متدهای جدید API را بررسی و پرچم‌گذاری می‌کند تا تغییرات منتظر بازبینی انسانی بمانند.

روش نصب و استفاده سریع

برای راه‌اندازی این ابزار به سیستم‌عامل لینوکس، مک‌اواس روی تراشه‌های اپل سیلیکون، یا ویندوز با WSL 2 (به صورت آزمایشی) نیاز دارید. همچنین باید یکی از ابزارهای Docker، Podman یا مجازی‌سازی میزبان را نصب کرده باشید. دستور زیر نمونه‌ای از نصب سریع آن است:

curl -LsSf https://raw.githubusercontent.com/NVIDIA/OpenShell/main/install.sh | sh
sandbox create --name demo

این اسکریپت CLI و یک گیت‌وی محلی را آماده می‌کند. توسعه‌دهندگان همچنین می‌توانند از SDKهای رسمی زبان‌های مختلف نظیر پایتون (uv add openshell)، تایپ‌اسکریپت، گو و راست برای اتصال برنامه‌های خود به گیت‌وی OpenShell استفاده کنند.

دیدگاه جامعه توسعه‌دهندگان در هکرنیوز

انتشار این پروژه در هکرنیوز واکنش‌های جالبی را به همراه داشته است. برخی از کاربران با شوخی اشاره کرده‌اند که جالب است یک شرکت سازنده کارت‌های گرافیک و بازی، سندباکس بهتری برای ایجنت‌های هوش مصنوعی ساخته است تا خود شرکت‌های ارائه‌دهنده مدل‌های هوش مصنوعی.

از سوی دیگر، برخی کاربران نسبت به فعال بودن پیش‌فرض تله‌متری در این ابزار انتقاد کرده‌اند، هرچند که امکان غیرفعال کردن آن با تنظیم متغیرهای محیطی وجود دارد. مهندسان همچنین معتقدند سطح کنترل بالا و موشکافانه این ابزار برای نیازهای سازمانی پیچیده بسیار ایده‌آل است، اما ممکن است برای شرکت‌های کوچک‌تر بیش از حد سخت‌گیرانه به نظر برسد.