Skip to content
ReviewRamble

Auf Englisch lesenEspañolFrançais

NVIDIA OpenShell

Die Laufzeit von NVIDIA, die jeden KI-Agenten in eine eigene Sandbox steckt und jede Datei, jeden Systemaufruf und jede Verbindung gegen eine Richtlinie prüft.

Getestet von Sheela · Aktualisiert

Auf GitHub ansehen Open Source

Unsere Bewertung

4.1/5

Eine schwergewichtige Agenten-Sandbox für Agenten, die du unbeaufsichtigt laufen lässt, nicht für solche, denen du dabei zusiehst.

Was ist NVIDIA OpenShell?

OpenShell betreibt autonome Agenten in isolierten Sandboxes und setzt auf Kernel-Ebene bei jedem Dateizugriff, jedem Systemaufruf und jeder Netzwerkverbindung eine Richtlinie durch. Agenten sehen nie echte Zugangsdaten: Ein Supervisor außerhalb der Sandbox prüft jede Anfrage nach Binary, Ziel, Methode und Pfad und fügt Zugangsdaten nur dort hinzu, wo die Richtlinie es erlaubt. Ein Gateway dient als Control Plane und verteilt Richtlinien und Zugangsdaten an jeden Supervisor. Bevor eine Richtlinienänderung wirksam wird, markiert ein Prover per formaler Verifikation riskante neue Zugriffe, etwa einen neuen Host, der Zugangsdaten erhalten würde, damit zuerst ein Mensch sie prüft.

Es läuft unter Linux, unter macOS auf Apple Silicon und experimentell unter Windows über WSL 2 und braucht Docker, Podman oder Host-Virtualisierung sowie ein lokales Gateway. Es gibt eine Kubernetes-Einrichtung und SDKs für TypeScript und Rust. v0.1.6 erschien am 27. Oktober 2026.

Lohnt sich NVIDIA OpenShell?

Einen Agenten über Nacht laufen zu lassen ist ein anderes Risiko, als sich von einem helfen zu lassen, während man zusieht. Niemand ist da, um auf "ablehnen" zu klicken. Für genau diese Lage ist OpenShell gebaut.

Jeder Agent bekommt eine eigene Sandbox, und jede Datei, die er öffnet, und jede Verbindung, die er aufbaut, wird gegen eine Richtlinie geprüft, die du geschrieben hast. Zwei Ideen heben es ab. Der Agent hält nie deine echten API-Schlüssel; OpenShell fügt sie nur Anfragen an Hosts hinzu, die du freigegeben hast. Und wenn jemand die Richtlinie ändert, zeigt ein formaler Prüfer vor dem Inkrafttreten, welche neuen Zugriffe die Änderung gewähren würde, sodass du keinen YAML-Diff blind abnickst.

Der Haken: Es ist schwerer als eine einfache Sandbox. Du brauchst Docker, Podman oder eine VM plus ein Gateway, und die Versionsnummer 0.1 ist ehrlich, rechne also mit Änderungen. NVIDIA bewirbt außerdem einen Enterprise-Weg, die NVIDIA OpenShell Reference Architecture, die die Laufzeit mit seinen Vera-CPUs, Vera-Rubin-Systemen und NVIDIA Sentry auf BlueField-4 kombiniert; ein Preis ist nicht veröffentlicht, und keine dieser Hardware ist nötig, um die Open-Source-Laufzeit zu betreiben. Anonyme Telemetrie ist standardmäßig aktiv; das README führt auf, was nicht erfasst wird, und mit OPENSHELL_TELEMETRY_ENABLED=false schaltest du sie ab.

Unser Fazit: Für einen Entwickler am Laptop erledigt srt von Anthropic das meiste davon mit einem Zehntel der Einrichtung. OpenShell rechtfertigt sein Gewicht, wenn Agenten nicht vertrauenswürdigen Code ausführen, unbeaufsichtigt laufen oder Regeln pro API brauchen. Beide auf derselben Arbeitslast zu betreiben bringt nur einen zweiten Regelsatz, den man debuggen muss.

Wo es sich lohnt

  • Ein Plattform-Team, das nächtliche Agenten-Jobs auf einer CI-Flotte fährt

    Agenten interne APIs aufrufen lassen, ohne ihnen die Schlüssel auszuhändigen

    Jeder Job läuft in einer OpenShell-Sandbox; das Gateway fügt Zugangsdaten nur für freigegebene Hosts ein, und der Prover markiert jede Richtlinienänderung, die den Zugriff erweitert.

  • Ein Security Engineer, der die Berechtigungen von Agenten prüft

    Einem Agenten erlauben, eine API zu lesen, aber nie in sie zu schreiben

    Schreib Netzwerkregeln pro HTTP-Methode, sodass GET durchgeht und POST abgelehnt wird, und prüfe vorgeschlagene Richtlinienänderungen mit dem Prover, bevor sie wirksam werden.

Bevor du dich festlegst

Einrichtung
Das Skript install.sh per curl -LsSf holen, dann openshell sandbox create -- claude. Das Standard-Image ist ein minimales Ubuntu ohne installierten Agenten.
Integrationen
NVIDIA nennt Claude Code, Codex, GitHub Copilot CLI, Hermes, LangChain Deep Agents, OpenClaw und OpenCode, dazu eigene Agenten und Images. Läuft auf Docker, Podman, Kubernetes (ein Helm-Chart installiert das Gateway) oder einer experimentellen VM-Laufzeit, auch an Standorten ohne Netzanbindung und auf DGX Spark oder Station. SDKs für TypeScript und Rust.
Daten und Datenschutz
Anonyme Betriebstelemetrie standardmäßig aktiv (laut README keine Prompts, Pfade, Zugangsdaten oder Inhalte); abschalten mit OPENSHELL_TELEMETRY_ENABLED=false. Apache 2.0.
Kosten im großen Maßstab
Die Laufzeit ist kostenlos; die Kosten sind die Container- oder VM-Kapazität, die jede Sandbox braucht. Für die Enterprise-Variante NVIDIA OpenShell Reference Architecture (OpenShell mit Vera-CPUs, Vera-Rubin-Systemen und Sentry auf BlueField-4) gibt es keinen veröffentlichten Preis. NVIDIA selbst spricht von doppelter Leistung gegenüber x86 auf Vera-CPUs; jede CPU funktioniert.
Grenzen
0.1.x, rechne also mit inkompatiblen Änderungen; die Unterstützung für WSL 2 ist experimentell.

Was gut ist

  • Prüfungen auf Kernel-Ebene für Dateien, Systemaufrufe und Netzwerk
  • Agenten sehen nie echte Zugangsdaten
  • Formale Verifikation markiert riskante Richtlinienänderungen
  • Kubernetes-Unterstützung und SDKs

Was nicht

  • Braucht Docker, Podman oder eine VM plus ein Gateway
  • Junge 0.1.x-Releases
  • Anonyme Telemetrie standardmäßig aktiv
  • Windows nur über experimentelles WSL 2

Am besten für

Teams, die Agenten unbeaufsichtigt oder mit nicht vertrauenswürdigem Code betreiben und Netzwerkregeln pro Host und pro Methode brauchen.

Alternativen zu NVIDIA OpenShell

Anthropic Sandbox Runtime (srt)

Gateways, observability & guardrailsTypeScript6.3k stars

4.4/5

Anthropic's open-source sandbox behind Claude Code's /sandbox: it fences any process off from your files and network.

ToolHive

Gateways, observability & guardrailsGo2.3k stars

4.1/5

Stacklok's platform that runs each MCP server in its own locked-down container, with access policy and audit logs for teams.

OpenSandbox

Gateways, observability & guardrailsPython16k stars

4.1/5

Self-hosted sandbox service for agents: containers on Docker or Kubernetes, with Firecracker microVMs, egress rules and a credential vault.

NVIDIA OpenShell: häufige Fragen

Lohnt sich NVIDIA OpenShell?
Eine schwergewichtige Agenten-Sandbox für Agenten, die du unbeaufsichtigt laufen lässt, nicht für solche, denen du dabei zusiehst. Wir bewerten es mit 4.1 von 5.
Was kostet NVIDIA OpenShell?
Kostenlos und Open Source unter Apache 2.0.
Welche Nachteile hat NVIDIA OpenShell?
Braucht Docker, Podman oder eine VM plus ein Gateway; Junge 0.1.x-Releases; Anonyme Telemetrie standardmäßig aktiv; Windows nur über experimentelles WSL 2.
Für wen eignet sich NVIDIA OpenShell?
Teams, die Agenten unbeaufsichtigt oder mit nicht vertrauenswürdigem Code betreiben und Netzwerkregeln pro Host und pro Methode brauchen.
Was kostet NVIDIA OpenShell für ein Team oder im Produktivbetrieb?
Die Laufzeit ist kostenlos; die Kosten sind die Container- oder VM-Kapazität, die jede Sandbox braucht. Für die Enterprise-Variante NVIDIA OpenShell Reference Architecture (OpenShell mit Vera-CPUs, Vera-Rubin-Systemen und Sentry auf BlueField-4) gibt es keinen veröffentlichten Preis. NVIDIA selbst spricht von doppelter Leistung gegenüber x86 auf Vera-CPUs; jede CPU funktioniert.
Ist NVIDIA OpenShell sicher für Firmendaten?
Anonyme Betriebstelemetrie standardmäßig aktiv (laut README keine Prompts, Pfade, Zugangsdaten oder Inhalte); abschalten mit OPENSHELL_TELEMETRY_ENABLED=false. Apache 2.0.
Was sind die besten Alternativen zu NVIDIA OpenShell?
Die nächsten Alternativen, die wir getestet haben, sind Anthropic Sandbox Runtime (srt), ToolHive und OpenSandbox.

Antworten geprüft am 28. Okt. 2026.