# 【AI星球日报】2026-10-23 | Agent 的下一道门槛不是能力，是"敢不敢让它碰凭据"

今日焦点深度解读

【趋势洞察】NVIDIA 把"Agent 运行时"做成基础设施：安全从"相信它"变成"限制它"

事件简述： NVIDIA 开源 OpenShell——面向成批自主 Agent 的安全私有运行时，昨日登上 Hacker News 首页（276 分）。主张只有一句：让 Agent 读文件、装包、调 API、用凭据，但不给它无限制的数据、密钥与网络。同一天，OpenAI 全面开放决策 API（GPT?6 Luna 驱动），输入每百万 token 仅 0.10 美元——"判断"这个动作便宜到可以每步都做。

第一层（是什么）： OpenShell 不靠提示词叮嘱，而是在内核层动手。每个 Agent 跑在独立沙箱，文件访问与系统调用由内核（Landlock）限制，每次出网都过策略检查。两个设计最关键：Agent 永远看不到真凭据，凭据只在请求发往已批准端点时注入；策略变更前用形式化验证先算一遍"这次会新开放哪些访问"，涉及"带着凭据访问新主机"这类风险改动会拦下来等人审。

第二层（为什么&影响）： 安全范式从"事后看日志"转向"执行前证明"。

• 控制点前移：过去半年 Agent 安全基本是事后复盘，现在变成"默认拒绝、事前不可能发生"，这是企业敢用 Agent 的实际前提。
• 凭据托管将成为标准件：Agent 借而不持，MCP 服务和内部系统接入方式都会被重写。
• 判断成本趋零：工程范式从"模型算一次、程序跑一路"变成"每步都判断"，小模型加硬策略的组合会大量出现。
• 信号：Anthropic 同日开源 11 个岗位级插件（销售、法务、财务、客服等），可在 Cowork 与 Claude Code 使用。两家不再比模型聪明，而是比谁能把 Agent 安全嵌进真实工作流。

第三层（我们的机会）：

• 给客户的方案加一张"权限清单"：能读哪些目录、出网到哪些域名、用哪些凭据、哪些动作必须人工确认。这张表比任何 Demo 都更能拿下企业单。
• 内测从最小沙箱起步：先"仅公开数据 + 只读文件"，跑顺了再逐项加权。
• 重构高频判断点：表单分类、邮件分派、工单定级，拆成便宜模型的判断调用，再配硬规则兜底。

延伸思考： 我们把 Agent 关进越来越精细的笼子，同时给它越来越长的能力清单。这条路能走很远，但真正的瓶颈会变成谁有权批准。一天上百次审批弹窗时，人会不会直接点"全部允许"？这可能是下一个漏洞。

高价值应用拆解

【实战工具箱】用"策略先行"三步法，给手上 Agent 划出安全活动范围

场景锚定： 用 Claude Code、Cursor 或自建 Agent 做内部工具的开发者，以及要把 AI 系统交付给客户的外包团队。典型困境：Agent 好用，但不敢让它碰生产库和云账号，只能停在浅水区。

方法步骤：

1. 列权限清单（30 分钟）：写四栏——读什么、写什么、出网到哪（逐域名写全）、用哪些凭据。第四栏写不出真实来源，说明你根本不知道 Agent 拿了什么。

2. 起第一个沙箱：需 Linux／Apple Silicon／WSL2 加 Docker。`curl -LsSf https://raw.githubusercontent.com/NVIDIA/OpenShell/main/install.sh | sh`，再 `openshell sandbox create --name demo`。默认镜像极简、不含 Agent，正好从零配。

3. 写策略文件：`filesystem_policy` 定读写路径，`process` 定运行身份，`network_policies` 定"哪个二进制能到哪台主机、能发什么请求"，`landlock` 决定策略应用失败时是否仍启动。改完先让它算影响再批准。

4. 让 Agent 撞墙，再逐条放权：先给最严策略跑真实任务，撞墙处加一条。撞墙记录就是最真实的权限需求，比凭感觉预判靠谱。

原理与变体： 能力限制不该写在提示词里——提示词会被注入绕过，内核沙箱不会。形式化验证解决另一个痛点：策略越改越松，半年后没人知道开了多大口子，它在改前就告诉你新增了什么。没有 Linux 环境时，可退一步用容器加出网白名单近似；个人项目砍到"网络白名单 + 凭据不进工作目录"两条也够用。

效果预览： 一个接了知识库和工单系统的 Agent 配完后通常是：只能读知识库只读副本、只出网到三个已批准域名、数据库凭据由运行时按端点注入。即使有人往知识库塞恶意指令，最坏结果是"读到假信息"，而不是"带着你的云凭据往外发"。

星友互动

今日问题： 你手上的 Agent 如果要交出一份"权限清单"——读哪些目录、能出网到哪些域名、手里有几个真凭据——你能当场写全吗？

欢迎在评论区晒一晒。特别想看到两种：一份能直接拿去给客户看的清单；和一份"发现 Agent 居然能访问这么多东西"的后知后觉。

IT老傅 | 坐标北京 | 近30年软件行业老兵 | 17年创业经历

核心业务：

1. AI培训与咨询 —— 帮个人和企业用好AI（让天下没有难用的AI）

2. 软件定制开发 —— 从AI应用到企业系统（AI重造业务）

正在做的事：

· 运营「AI工程落地实战」知识星球，每天分享能落地的AI玩法

· 打造AI工作流系统，让个人和中小企业也能用上AI

想了解更多AI应用模式和实操落地方法？

欢迎加入我的知识星球「AI工程落地实战」

星球二维码图片占位:GZH_QR

关注我，一起用AI提升效率、创造价值！

微信公众号：神州共赢 | IT老傅聊AI

抖音|快手|视频号|小红书：IT老傅聊AI