NVIDIA OpenShellとは？
OpenShellは、自律型agentを隔離されたサンドボックス内で実行し、すべてのファイルアクセス、システムコール、ネットワーク接続に対してカーネルレベルでポリシーを適用します。agentが実際の認証情報を認識することはありません。サンドボック スの外部で実行されるsupervisorが、バイナリ、送信先、メソッド、パスごとに各リクエストを検査し、ポリシーで許可されている場合にのみ認証情報を付与します。gatewayがコントロールプレーンとして機能し、各supervisorにポリシーと認証情報を渡します。ポリシーの変更が有効になる前に、proverが形式検証を使用して、認証情報を受け取ることになる新しいホストなど、リスクのある新規アクセスを警告するため、人間が事前に確認できます。
Linux、Apple Silicon上のmacOS、および実験的にWSL 2を介したWindows上で動作し、Docker、Podman、またはホスト仮想化に加えてローカルのgatewayが必要です。Kubernetesのセットアップ環境と、TypeScriptおよびRust向けのSDKが用意されています。v0.1.6は2026年10月27日にリリースされました。
NVIDIA OpenShellは使う価値があるか？
夜間にagentを無人で実行することは、画面を見守りながら支援させることとはリスクの質が異なります。「拒絶」をクリックする人はその場にいません。OpenShellはそのような状況のために構築されています。
各agentには個別のサンドボックスが割り当てられ、開くすべてのファイルと確立するすべての接続が、記述したポリシーに照らして検査されます。本製品を際立たせる2つの設計思想があります。agentが実際のAPIキーを保持することはなく、OpenShellは承認されたホスト宛てのリクエストにのみAPIキーを付与します。また、誰かがポリシーを変更すると、変更が適用される前に、その変更によってどのような新しいアクセス権が付与されるかを形式検証チェッカーが提示するため、YAMLの差分を盲目的に承認せずに済みます。
留意点として、単純なサンドボックスよりも重量級です。Docker、Podman、またはVMに加えてgatewayが必要であり、0.1というバージョン番号が示すとおり初期段階にあるため、変更が予想されます。NVIDIAはエンタープライズ向けの展開として、本ランタイムを同社のVera CPUs、Vera Rubin systems、BlueField-4上のNVIDIA Sentryと組み合わせるNVIDIA OpenShell Reference Architectureも提案しています。価格は公開されておらず、オープンソースのランタイムを実行するためにこれらのハードウェアは一切必要ありません。匿名のテレメトリはデフォルトで有効になっています。READMEには収集されない情報が記載されており、OPENSHELL_TELEMETRY_ENABLED=falseで無効化できます。
筆者の見解として、ノートPCで作業する開発者にとっては、Anthropicのsrtの方が10分の1のセットアップ作業で同様の機能の大部分を提供します。OpenShellがその重厚さに見合う価値を発揮するのは、agentが信頼できないコードを実行する場合、無人で実行される場合、またはAPIごとのルールを必要とする場合です。単一のワークロードで両方を実行することは、デバッグ対象となるルールのセットがもう1つ増えるだけです。
真価を発揮する場面
CIフリート上で夜間にagentジョブを実行するプラットフォームチーム
agentにキーを渡すことなく社内APIを呼び出させること
各ジョブはOpenShellサンドボックス内で実行され ます。gatewayは承認されたホストにのみ認証情報を注入し、proverはアクセスを拡大するあらゆるポリシー変更に警告を出します。
agentの権限をレビューするセキュリティエンジニア
agentにAPIの読み取りを許可しつつ、書き込みは一切許可しないこと
HTTPメソッドごとにネットワークルールを記述してGETを通過させPOSTを拒否するようにし、提案されたポリシー変更を適用前にproverを通じてレビューします。
導入前に確認すること
- 導入
- install.shスクリプトをcurl -LsSfで取得し、openshell sandbox create -- claudeを実行します。デフォルトのイメージはagentがインストールされていない最小限のUbuntuです。
- 連携
- NVIDIAはClaude Code、Codex、GitHub Copilot CLI、Hermes、LangChain Deep Agents、OpenClaw、OpenCodeに加えて、カスタムagentおよびカスタムイメージを挙げています。Docker、Podman、Kubernetes（Helmチャートでgatewayをインストール）、または実験的なVMランタイムで動作し、エアギャップ環境やDGX Spark、Stationも含まれます。TypeScriptおよびRustのSDKが用意されています。
- データとプ ライバシー
- 匿名の運用テレメトリはデフォルトで有効です（READMEによると、プロンプト、パス、認証情報、コンテンツは収集されません）。OPENSHELL_TELEMETRY_ENABLED=falseで無効化できます。ライセンスはApache 2.0です。
- 大規模利用時のコスト
- ランタイムは無料です。コストは各サンドボックスが必要とするコンテナまたはVMの容量に依存します。エンタープライズ向けのNVIDIA OpenShell Reference Architecture（OpenShellとVera CPUs、Vera Rubin systems、BlueField-4上のSentryの構成）の価格は公開されていません。NVIDIA自体の主張ではVera CPUs上でx86の2倍のパフォーマンスとされていますが、任意のCPUで動作します。
- 制限
- 0.1.xであるため、破壊的変更が予想されます。WSL 2のサポートは実験的です。
良い点
- ファイル、システムコール、ネットワークに対するカーネルレベルの検査
- agentが実際の認証情報を認識しない設計
- リスクのあるポリシー変更を警告する形式検証
- KubernetesのサポートとSDKの提供
気になる点
- Docker、Podman、またはVMとgatewayが必要
- 初期段階の0.1.xリリース
- 匿名のテレメトリがデフォルトで有効
- Windowsの対応は実験的なWSL 2のみ
おすすめの人
agentを無人または信頼できないコード上で実行し、ホスト単位およびメソッド単位のネットワークルールを必要とするチームに適しています。
NVIDIA OpenShellの代替
NVIDIA OpenShell：よくある質問
- NVIDIA OpenShellは使う価値があるか？
- 見守りながら使うものではなく、無人で稼働させ続けるagent向けに構築された重量級のagentサンドボックスです。 評価は5点満点中4.1点です。
- NVIDIA OpenShellの料金は？
- Apache 2.0に基づく無料のオープンソースです。
- NVIDIA OpenShellの欠点は？
- Docker、Podman、またはVMとgatewayが必要; 初期段階の0.1.xリリース; 匿名のテレメトリがデフォルトで有効; Windowsの対応は実験的なWSL 2のみ.
- NVIDIA OpenShellは誰に向いているか？
- agentを無人または信頼できないコード上で実行し、ホスト単位およびメソッド単位のネットワークルールを必要とするチームに適しています。
- チームや本番環境でNVIDIA OpenShell を使うと費用はいくらか？
- ランタイムは無料です。コストは各サンドボックスが必要とするコンテナまたはVMの容量に依存します。エンタープライズ向けのNVIDIA OpenShell Reference Architecture（OpenShellとVera CPUs、Vera Rubin systems、BlueField-4上のSentryの構成）の価格は公開されていません。NVIDIA自体の主張ではVera CPUs上でx86の2倍のパフォーマンスとされていますが、任意のCPUで動作します。
- NVIDIA OpenShellは企業データを扱っても安全か？
- 匿名の運用テレメトリはデフォルトで有効です（READMEによると、プロンプト、パス、認証情報、コンテンツは収集されません）。OPENSHELL_TELEMETRY_ENABLED=falseで無効化できます。ライセンスはApache 2.0です。
- NVIDIA OpenShellの代わりになるものは？
- 当サイトでレビューした中で最も近い代替はAnthropic Sandbox Runtime (srt), ToolHive 、 OpenSandboxです。
回答確認日：2026年10月28日