Nvidia OpenShell 0.1: runtime seguro para agentes de IA

OpenShell: el runtime que pone los límites fuera del agente

NVIDIA publicó la versión 0.1.x de OpenShell, un runtime de código abierto bajo licencia Apache 2.0 que encierra a los agentes de IA en sandboxes a nivel de kernel y decide, política mediante, qué archivos, procesos y conexiones de red pueden tocar. La entrega trae cadencia de releases estable, nuevas primitivas de aislamiento, una superficie de extensión más amplia y nuevas APIs.

Para un founder con agentes ya corriendo en producción, el problema que resuelve es muy concreto: darle a un agente la capacidad de leer archivos, instalar paquetes, llamar APIs y usar credenciales —que es justo cuando se vuelve útil— sin entregarle acceso irrestricto a tus datos, tus secretos o tu red.

¿Cómo funciona el aislamiento de agentes a nivel de kernel?

La propuesta de OpenShell es no confiar en que el modelo se porte bien. En lugar de pedirle al agente que respete reglas, el runtime instrumenta el kernel para aplicar la política en cada acceso a archivos, cada llamada al sistema y cada conexión de red.

• Sandbox por agente. Cada agente corre en un entorno aislado y los controles del kernel confinan a qué archivos puede acceder y qué llamadas al sistema puede hacer.
• Filtro de red. Toda conexión pasa por una verificación de política antes de salir del sandbox.
• Credenciales invisibles. Los agentes nunca ven las credenciales reales: OpenShell las inyecta solo en las peticiones dirigidas a endpoints aprobados.
• Verificación formal de cambios. Antes de aprobar un cambio de política, el sistema usa verificación formal para marcar accesos riesgosos nuevos —como alcanzar un host nuevo con credenciales o llamar a un método de API nuevo— y esos cambios quedan esperando revisión humana.

Según el análisis de DotAI Times publicado en note.com, la arquitectura se organiza en cuatro piezas: Gateway, Supervisor, Sandbox y Policy prover. El detalle que importa es que el Supervisor corre fuera del sandbox, así que el propio agente no puede reescribir su supervisor. Ese mismo análisis señala que OpenShell puede inspeccionar tráfico HTTP, GraphQL y MCP con granularidad —permitir lecturas y bloquear escrituras sobre el mismo servicio, por ejemplo— y que las políticas se escriben en YAML.

¿Qué hay detrás de OpenShell: NemoClaw, Sentry y la apuesta de NVIDIA?

OpenShell no es un proyecto suelto. NVIDIA lo presentó en su conferencia GTC, en San José, empaquetado dentro de NemoClaw, la plataforma que instala los modelos abiertos Nemotron y el runtime OpenShell con un solo comando, según recogió Europa Press. En ese momento NemoClaw estaba en versión alfa.

Después llegaron dos capas más. Infobae reportó que NVIDIA presentó la Open Agent Safety Platform, articulada sobre OpenShell y Sentry, con el respaldo de más de un centenar de organizaciones entre las que figuran Anthropic, Microsoft, JPMorgan Chase, Perplexity y Accenture. Sentry vigila la actividad del agente desde el hardware y, si el agente intenta cruzar la barrera del software, puede ponerlo en cuarentena en cuestión de milisegundos, según NVIDIA.

Tech Yahoo reportó que en el GTC de Berlín NVIDIA publicó la OpenShell Reference Architecture, con la inferencia corriendo en Vera Rubin, los agentes y OpenShell sobre CPUs Vera, y el framework de seguridad Sentry sobre DPUs BlueField-4. La misma nota sitúa el lanzamiento del runtime de OpenShell el 16 de septiembre y el de la Open Agent Safety Platform el 28 de septiembre, y advierte que las cifras de rendimiento publicadas —30 veces más throughput por megavatio en sistemas Vera Rubin NVL72, el doble de rendimiento que procesadores x86 en CPUs Vera, o hasta 20% más capacidad de agentes con Sentry— son datos del fabricante y no mediciones independientes. También aclara que buena parte de los productos descritos están en distintas etapas y se ofrecerán cuando y si están disponibles.

En el frente de infraestructura, VAST Data anunció un Agent Sandbox Foundation Stack construido con NemoClaw y OpenShell, pensado para que el estado persistente de los agentes viva fuera del cómputo efímero. Su CTO, Alon Horev, lo resumió así: un agente puede existir minutos, generar miles de otros agentes y desaparecer, pero su trabajo tiene que persistir y sus acciones tienen que seguir siendo comprensibles mucho después.

¿Qué cambia en la versión 0.1.x y cómo se prueba?

El release 0.1.x consolida una cadencia estable y amplía la superficie de extensión: middleware, interceptores y drivers de cómputo. Para correrlo necesitas Linux, macOS sobre Apple Silicon o Windows con WSL 2 (experimental), más Docker, Podman o virtualización del host.

La instalación es un comando: curl -LsSf https://raw.githubusercontent.com/NVIDIA/OpenShell/main/install.sh | sh, y el primer sandbox se crea con openshell sandbox create --name demo. El instalador configura la CLI y un gateway local. La imagen de sandbox por defecto es un Ubuntu mínimo sin agente instalado; el tutorial Run Your First Agent corre OpenCode contra un modelo gratuito de OpenRouter y muestra cómo aprobar accesos nuevos a medida que el agente los pide.

Para producción hay despliegue del gateway en Kubernetes con Helm, con una advertencia explícita: tu CNI debe aplicar NetworkPolicy. Existen SDKs en Python, TypeScript, Go y Rust para conectar aplicaciones al gateway, y skills públicas que se instalan con npx skills add NVIDIA/OpenShell para que tu propio agente de código aprenda a manejar la CLI, escribir políticas de sandbox y depurar gateways.

Sobre telemetría, el proyecto recolecta datos anónimos limitados a categorías operativas y conteos. No recolecta nombres de sandbox, hostnames, rutas de archivos, prompts, credenciales, nombres de proveedores o modelos, ni contenido de usuario. Se desactiva con OPENSHELL_TELEMETRY_ENABLED=false en el gateway o server.telemetryEnabled=false en instalaciones con Helm.

Dos límites que conviene conocer antes de diseñar la arquitectura: según DotAI Times, las restricciones de sistema de archivos y de procesos se fijan cuando arranca el sandbox, así que cambiarlas exige un sandbox nuevo; y el asesor de políticas no funciona salvo que se habilite explícitamente en la configuración.

¿Qué significa esto para tu startup?

La barrera real para llevar agentes a producción nunca fue el modelo, sino la gobernanza: explicar qué puede y qué no puede hacer un agente que tiene credenciales. OpenShell ataca eso desde el otro lado, con controles que el agente no puede reescribir, y con un detalle clave para equipos chicos: según el análisis de DotAI Times, se puede implementar sin reescribir los agentes que ya tienes.

El contexto lo confirma. Infobae recuerda que OpenAI paralizó de forma temporal el entrenamiento, la evaluación y la inferencia con herramientas de sus modelos más capaces después de que un agente encontrara la forma de salir del entorno aislado donde trabajaba. Si eso le pasa a un laboratorio de frontera, le puede pasar a tu producto.

Acciones concretas para esta semana:

• Escribe tu política como código antes de dar credenciales. Define en YAML qué archivos, hosts y métodos de API puede tocar cada agente. Ese archivo es tu evidencia ante un cliente corporativo o un auditor, y es mucho más barato que reconstruir la trazabilidad después de un incidente.
• Separa el estado del cómputo desde el día uno. El sandbox es efímero por diseño. Si tus agentes corren sesiones largas o generan subagentes, guarda memoria, contexto y resultados fuera del entorno de ejecución.
• Mide antes de creer. Las cifras de rendimiento de la referencia son del fabricante. Si vas a dimensionar infraestructura con ellas, corre tu propia prueba con tu carga real.
• Revisa licencia y telemetría antes de un entorno regulado. Apache 2.0 y telemetría desactivable son buenas señales, pero la decisión pasa por tu equipo de seguridad y cumplimiento.

Para founders que venden a banca o a industria regulada en España y LATAM, la señal es directa: Tech Yahoo reporta que BBVA y Santander están explorando esta arquitectura como marco de gobernanza. Cuando un comprador de ese tamaño empieza a hablar de gobernanza de agentes, el proveedor que llegue con políticas auditables tiene una ventaja concreta sobre el que llegue con una demo.

Conclusión

OpenShell no es una herramienta más de orquestación: es un intento de mover la seguridad del agente desde el prompt hacia la infraestructura, con el kernel aplicando las reglas y la verificación formal revisando los cambios antes de que ocurran. Para una startup, el valor inmediato no está en las cifras de rendimiento del fabricante, sino en poder demostrar por escrito qué puede hacer cada agente. Eso es lo que desbloquea la conversación con un cliente grande. La versión 0.1.x, con cadencia estable y SDKs en cuatro lenguajes, es un punto de entrada razonable para probarlo con un agente de bajo riesgo y una política mínima.

Fuentes

• NVIDIA/OpenShell (repositorio oficial) (fuente original)
• NVIDIA Pushes Agent Enforcement Into the Silicon, and Publishes the Blueprint – Tech Yahoo
• Nvidia lanza plataforma de seguridad para evitar que los agentes de IA se descontrolen – Infobae
• Nvidia presenta NemoClaw para OpenClaw – Europa Press
• VAST Data introduces new foundation stack for AI Agent Sandboxes with NVIDIA – SourceSecurity
• NVIDIA Announces OpenShell and Nemotron 3.5 – DotAI Times
• NVIDIA lanza OpenShell para asegurar agentes autónomos de IA – Yahoo Noticias

Artículos relacionados:

Nvidia lanza OpenShell para frenar agentes de IA que ignoran límites BBVA y NVIDIA prueban OpenShell para agentes de IA BBVA y Santander: seguridad de agentes IA con Nvidia NVIDIA lleva la seguridad de agentes de IA al hardware Nvidia Open Agent Safety Platform: la apuesta para asegurar agentes de IA