โดย Nokka (นก-กา) | ตรวจข้อมูล 27 ต.ค. 2026
บทความนี้เขียนโดย AI (deepseek-v4.1-flash · ผู้ให้บริการโมเดล: ollama-cloud) ผ่าน Hermes Agent ภายใต้การควบคุมและตรวจสอบคุณภาพโดยมนุษย์ - Nokka (นก-กา)
เพจ AI กับ Peesamac อธิบาย OpenShell ว่าเป็น "ห้องกักตัว" สำหรับ AI agent ที่ NVIDIA ปล่อยเป็นโอเพนซอร์ส ให้ agent ทำงานได้เต็มที่แต่แตะได้แค่สิ่งที่เราอนุญาต [1]
คำเปรียบเทียบนั้นใช้ได้ และตรงกับสิ่งที่เอกสารของ NVIDIA เขียนไว้มากกว่าที่คนคิด
เพราะปัญหาจริงของการใช้ agent ไม่ใช่ว่ามันทำงานไม่ได้ แต่คือมันทำงานได้มากเกินไป
OpenShell คืออะไร
รันไทม์สำหรับ agent โดยเฉพาะ
รีโป NVIDIA/OpenShell อธิบายตัวเองว่าเป็นรันไทม์ที่ปลอดภัยและเป็นส่วนตัวสำหรับกลุ่ม AI agent จำนวนมากที่ทำงานอัตโนมัติ [2]
มันไม่ได้เป็นโมเดล ไม่ได้เป็นเอเจนต์ และไม่ได้เป็นแชต
แต่มันคือชั้นที่คั่นระหว่าง agent กับเครื่องของคุณ แล้วบังคับกฎทุกครั้งที่ agent แตะไฟล์ รันคำสั่ง หรือต่อเน็ตเวิร์ก [2]
เกิดจากปัญหาที่ทีมซอฟต์แวร์เจอทุกวัน
เอกสารเริ่มต้นด้วยประโยคที่ตรงไปตรงมา ว่า agent จะมีประโยชน์ที่สุดเมื่อมันอ่านไฟล์ ติดตั้งแพ็กเกจ เรียก API และใช้ credential ได้ [2]
แต่การให้ความสามารถเหล่านั้นเท่ากับการให้กุญแจทั้งเครื่อง
OpenShell จึงเลือกวิธีให้ความสามารถแบบจำกัดขอบเขต แทนการปิดกั้นทั้งหมด
กลไกการบังคับใช้
บังคับที่ระดับเคอร์เนล
แต่ละ agent รันในแซนด์บ็อกซ์แยก และถูกควบคุมด้วยกลไกของเคอร์เนลว่าอ่านไฟล์ใดได้ และเรียก system call ใดได้ [2]
ทุกการเชื่อมต่อเครือข่ายต้องผ่านการตรวจสอบนโยบายก่อนออกจากแซนด์บ็อกซ์ [2]
จุดนี้สำคัญเพราะมันไม่ได้พึ่งความร่วมมือของ agent หรือ prompt ที่บอกว่า "ห้ามทำ" แต่บังคับที่ระดับที่ agent เลี่ยงไม่ได้
credential ไม่เคยอยู่ในมือ agent
เอกสารระบุชัดว่า agent ไม่เคยเห็น credential จริง [2]
OpenShell จะเติม credential ให้เฉพาะคำขอที่ไปยังปลายทางที่ได้รับอนุมัติเท่านั้น [2]
นี่คือการออกแบบที่ตอบโจทย์การใช้งานจริง เพราะปัญหาที่พบบ่อยคือ agent เผลอใส่คีย์ลงในโค้ดหรือส่งข้อมูลออกไปนอกเครื่อง ซึ่งเอกสารด้านความปลอดภัยของโครงการเองก็เตือนว่าปลายทางที่อนุญาตทุกจุดคือช่องทางรั่วไหลที่ทำได้ [6]
ตรวจ policy ด้วยการพิสูจน์เชิงรูปแบบ
ก่อนนโยบายใหม่จะมีผล ระบบจะใช้การพิสูจน์เชิงรูปแบบเพื่อชี้ความเสี่ยงที่เกิดขึ้น เช่น การเข้าถึงโฮสต์ใหม่พร้อม credential หรือการเรียกเมธอด API ใหม่ [2]
รายการเสี่ยงจะถูกพักไว้รอคนตรวจ ไม่ได้เปิดให้อัตโนมัติ [2]
การพิสูจน์เชิงรูปแบบไม่ได้แปลว่าไม่มีช่องโหว่ แต่แปลว่าความเปลี่ยนแปลงจะไม่ผ่านไปเงียบ ๆ
นโยบายหนึ่งไฟล์ควบคุมห้าส่วน
โครงสร้างของ policy
ไฟล์นโยบายเป็น YAML และมีห้าส่วนหลักที่คุมคนละเรื่อง [3]
ส่วนแรกคือ filesystem_policy กำหนดพาธที่โปรเซสอ่านได้หรืออ่านและเขียนได้ โดยบังคับด้วย Landlock ซึ่งเป็นกลไกความปลอดภัยในเคอร์เนลลินุกซ์ [3]
ส่วนที่สองคือ landlock กำหนดว่าถ้าใช้กฎไฟล์ระบบไม่ได้ แซนด์บ็อกซ์จะยังเริ่มทำงานหรือไม่ [3]
process และ network
ส่วน process กำหนดผู้ใช้และกลุ่มที่โปรเซสใช้ ซึ่งถูกล็อกตอนสร้างแซนด์บ็อกซ์ด้วย Docker หรือ Podman [3]
ส่วน network_policies กำหนดปลายทางที่แต่ละไบนารีเข้าถึงได้ และคำขอแบบไหนที่ส่งได้ [3]
ค่าเริ่มต้นคือปฏิเสธทุกการเชื่อมต่อออกนอกแซนด์บ็อกซ์ เว้นแต่มีกฎอนุญาต [3]
network_middlewares
ส่วนสุดท้ายใช้ตรวจ แปลง หรือบล็อกทราฟฟิกที่กฎอนุญาตไว้แล้ว [3]
มันมีประโยชน์เมื่อคุณอยากให้ agent อ่าน API ได้แต่ห้ามเขียน หรืออยากกรองข้อมูลก่อนออกนอกเครื่อง
สถาปัตยกรรมและการติดตั้ง
องค์ประกอบหลัก
ระบบมี gateway ทำหน้าที่เป็นศูนย์ควบคุมแซนด์บ็อกซ์ นโยบาย และสิทธิ์การเข้าถึง [2]
มี supervisor คอยกำกับ และมีแซนด์บ็อกซ์เป็นที่ที่งานจริงเกิดขึ้น [2]
ถ้าองค์กรคุณใช้ Kubernetes อยู่แล้ว มี Helm chart สำหรับติดตั้ง gateway โดยต้องมี CNI ที่บังคับ NetworkPolicy ได้ [2]
เริ่มใช้ในสองคำสั่ง
หน้าแรกของรีโปให้คำสั่งติดตั้งสั้น ๆ
curl -LsSf https://raw.githubusercontent.com/NVIDIA/OpenShell/main/install.sh | sh
openshell sandbox create --name demo
อิมเมจเริ่มต้นเป็น Ubuntu ขนาดเล็กที่ยังไม่มี agent ติดตั้งมาให้ [2]
ถ้าต้องการลองของจริง เอกสารมีบทแนะนำให้รัน OpenCode กับโมเดลฟรีผ่าน OpenRouter และแสดงขั้นตอนอนุมัติสิทธิ์เมื่อ agent ขอเข้าถึงสิ่งใหม่ [2]
มี SDK หลายภาษา
รีโปมี SDK สำหรับ Python, TypeScript, Go และ Rust [2]
ฝั่ง Python ติดตั้งผ่าน pip หรือ uv ได้ และมีแพ็กเกจอยู่บน PyPI แล้ว [4]
มีสกิลให้ agent ขับ CLI เอง
นอกจากตัวรันไทม์แล้ว ยังมีสกิลสาธารณะสำหรับ coding agent เพื่อสอนให้มันใช้ CLI เขียน policy และ debug gateway [2]
จุดนี้ทำให้วงจรการตั้งค่าไม่ต้องรอคนเขียน YAML เองทุกครั้ง
ตัวเลขของโครงการ
ความสนใจจากชุมชน
ณ วันที่ผมเปิดดู รีโปนี้มีดาว 20,191 ดวง และมีคน fork 1,988 ครั้ง [2]
สร้างเมื่อ 24 กุมภาพันธ์ 2026 และมีการอัปเดตล่าสุดในวันเดียวกันกับที่ผมตรวจ [2]
สัญญาอนุญาตและเวอร์ชัน
โครงการใช้สัญญา Apache 2.0 [2]
เอกสารชุดล่าสุดระบุเวอร์ชัน v0.1.5 และหน้าแรกของรีโปมีลิงก์คู่มืออัปเกรดสำหรับผู้ที่ใช้เวอร์ชันก่อนหน้า [2]
ยังมี issue ค้างจำนวนมาก
รีโปมี issue ที่ยังเปิดอยู่ราว 390 รายการ และ pull request ที่เปิดอีกราว 210 รายการ ส่วนตัวเลข 600 ที่ GitHub แสดงบนหน้ารีโปคือผลรวมของสองอย่าง [2]
ตัวเลขนี้ไม่ใช่สัญญาณว่าโครงการมีปัญหา แต่มันบอกว่านี่คือซอฟต์แวร์ที่ยังเคลื่อนไหวเร็วและยังไม่ได้นิ่ง
ข้อจำกัดที่ต้องรู้ก่อนใช้
ต้องมี Docker หรือ Podman
เครื่องของคุณต้องมี Linux, macOS บน Apple Silicon หรือ Windows ที่ใช้ WSL 2 ซึ่งยังเป็นสถานะทดลอง [2]
สำหรับ Windows แบบเนทีฟ ทีมงานมีเส้นทางผ่าน Microsoft MXC บนสถาปัตยกรรม x64 และ ARM64 แต่เอกสารระบุว่ายังอยู่ระหว่างพัฒนาและยังไม่ผ่านเกณฑ์ความปลอดภัยระดับพร้อมใช้งานจริง [7]
และต้องมี Docker, Podman หรือระบบเสมือนที่รันบนโฮสต์ได้ [2]
แปลว่ามันไม่ใช่โปรแกรมที่ดับเบิลคลิกแล้วจบ และแม้จะมีเส้นทาง Windows แบบเนทีฟ แต่ก็ยังไม่พร้อมใช้ในงานจริง
telemetry เปิดไว้โดยค่าเริ่มต้น
รีโปแจ้งว่าเก็บ telemetry แบบไม่ระบุตัวตน และระบุหมวดข้อมูลที่ไม่เก็บ เช่น ชื่อแซนด์บ็อกซ์ ชื่อโฮสต์ พาธไฟล์ พรอมป์ credential [2]
ปิดได้ด้วยการตั้งค่า OPENSHELL_TELEMETRY_ENABLED=false ที่ gateway หรือแก้ค่าใน Helm [2]
policy ที่ผิดก็ทำให้ระบบพังได้
ถ้าไฟล์นโยบายในอิมเมจไม่ถูกต้อง เวิร์กโหลดจะไม่เริ่มจนกว่าจะแก้ไข [3]
ระบบไม่อ่านข้ามและใช้ค่าเริ่มต้นให้ ซึ่งเป็นพฤติกรรมที่ปลอดภัยแต่ทำให้คนใหม่ติดขัดได้ง่าย
การพิสูจน์ไม่ได้แปลว่าปลอดภัย
การพิสูจน์เชิงรูปแบบตรวจเฉพาะส่วนของนโยบายที่ตัวพิสูจน์ตรวจ และผลผ่านไม่ได้แปลว่านโยบายจะแคบที่สุดหรือปลอดภัยกับทุกกรณี [5]
ถ้า agent ถูกหลอกให้ใช้สิทธิ์ที่มีอยู่ไปในทางผิด การป้องกันยังต้องอาศัยการออกแบบสิทธิ์ให้น้อยที่สุดอยู่ดี
ไม่มีข้อมูลเรื่องประสิทธิภาพ
เอกสารที่ผมอ่านไม่ได้ให้ตัวเลขว่าแซนด์บ็อกซ์ทำให้ agent ช้าลงกี่เปอร์เซ็นต์ [2][3]
ถ้าคุณทำงานที่ความเร็วมีผลต่อต้นทุน ต้องวัดเองบนงานของคุณ
ทำไมมันสำคัญกับคนที่ใช้ agent อยู่แล้ว
agent ที่อ่าน .env ได้คือความเสี่ยงที่มองไม่เห็น
ถ้าคุณปล่อยให้ agent รันในโฟลเดอร์โปรเจกต์โดยไม่มีกรอบ มันอ่านไฟล์ทุกไฟล์ที่ผู้ใช้มีสิทธิ์อ่านได้
รวมถึงไฟล์ที่เก็บคีย์ API และไฟล์กำหนดค่าที่ไม่ควรออกนอกเครื่อง [6]
ลดความเสียหายเมื่อถูก prompt injection
เมื่อ agent อ่านหน้าเว็บหรือเอกสารที่คนอื่นควบคุม มีโอกาสที่คำสั่งแปลกปลอมจะถูกฝังมาในเนื้อหา และ agent อาจทำตามโดยไม่รู้ตัว
การจำกัดปลายทางเครือข่ายและ credential ช่วยลดขอบเขตความเสียหายไม่ให้เกินสิทธิ์ที่ policy ให้ไว้ [6]
เหมาะกับทีมที่รัน agent บนเครื่องนักพัฒนา
ถ้าทีมคุณใช้ Claude Code หรือ Codex บนเครื่องส่วนตัวและมีข้อมูลลูกค้าอยู่ในเครื่องเดียวกัน การมีชั้นบังคับนโยบายเป็นเรื่องที่ควรทำก่อนเกิดเหตุ
แต่ต้องยอมรับว่าการตั้งค่าใช้เวลา และไม่ใช่ทุกทีมจะพร้อม
บทสรุป
NVIDIA OpenShell คือรันไทม์ที่บังคับสิทธิ์ของ AI agent ที่ระดับเคอร์เนล และใช้การพิสูจน์เชิงรูปแบบตรวจการเปลี่ยนนโยบาย [2]
มันไม่ได้ทำให้ agent เก่งขึ้น แต่ทำให้ความเสียหายมีขอบเขตจำกัด
ตัวเลข 20,191 ดาวและซอฟต์แวร์เวอร์ชัน 0.1.5 บอกว่านี่คือของใหม่ที่คนสนใจมากและยังพัฒนาอยู่ [2][3]
ในมุมมองของผม คุณค่าที่แท้จริงของมันไม่ใช่การกัน agent ไม่ให้ทำงาน แต่คือการทำให้เรากล้าปล่อยให้มันทำงานมากขึ้น เพราะรู้ว่ามันแตะได้เท่าที่เราอนุญาต
และนั่นคือสิ่งที่ทีมซอฟต์แวร์ส่วนใหญ่ยังขาดอยู่
REF
[1] AI กับ Peesamac (ต.ค. 2026) · โพสต์แนะนำ NVIDIA OpenShell. https://www.facebook.com/61569659679064/posts/122178072842655322/
[2] NVIDIA (24 ก.พ. 2026) · NVIDIA/OpenShell (README). https://github.com/NVIDIA/OpenShell
[3] NVIDIA (2026) · Sandbox Policies (docs v0.1.5). https://docs.nvidia.com/openshell/how-it-works/policies/overview
[4] NVIDIA (2026) · openshell บน PyPI. https://pypi.org/project/openshell/
[5] NVIDIA (2026) · Policy Prover. https://docs.nvidia.com/openshell/how-it-works/policies/prover
[6] NVIDIA (2026) · Security best practices. https://docs.nvidia.com/openshell/security/best-practices
[7] NVIDIA (2026) · Windows build and runtime guide (Microsoft MXC). https://github.com/NVIDIA/OpenShell/blob/main/WINDOWS.md
Top comments (0)