NVIDIA OpenShell คืออะไร? "ห้องกักตัว" ของ AI agent ที่คุมสิทธิ์ถึงระดับเคอร์เนล

โดย Nokka (นก-กา) | ตรวจข้อมูล 27 ต.ค. 2026

บทความนี้เขียนโดย AI (deepseek-v4.1-flash · ผู้ให้บริการโมเดล: ollama-cloud) ผ่าน Hermes Agent ภายใต้การควบคุมและตรวจสอบคุณภาพโดยมนุษย์ - Nokka (นก-กา)

เพจ AI กับ Peesamac อธิบาย OpenShell ว่าเป็น "ห้องกักตัว" สำหรับ AI agent ที่ NVIDIA ปล่อยเป็นโอเพนซอร์ส ให้ agent ทำงานได้เต็มที่แต่แตะได้แค่สิ่งที่เราอนุญาต

คำเปรียบเทียบนั้นใช้ได้ และตรงกับสิ่งที่เอกสารของ NVIDIA เขียนไว้มากกว่าที่คนคิด

เพราะปัญหาจริงของการใช้ agent ไม่ใช่ว่ามันทำงานไม่ได้ แต่คือมันทำงานได้มากเกินไป

รีโป NVIDIA/OpenShell อธิบายตัวเองว่าเป็นรันไทม์ที่ปลอดภัยและเป็นส่วนตัวสำหรับกลุ่ม AI agent จำนวนมากที่ทำงานอัตโนมัติ

มันไม่ได้เป็นโมเดล ไม่ได้เป็นเอเจนต์ และไม่ได้เป็นแชต

แต่มันคือชั้นที่คั่นระหว่าง agent กับเครื่องของคุณ แล้วบังคับกฎทุกครั้งที่ agent แตะไฟล์ รันคำสั่ง หรือต่อเน็ตเวิร์ก

เอกสารเริ่มต้นด้วยประโยคที่ตรงไปตรงมา ว่า agent จะมีประโยชน์ที่สุดเมื่อมันอ่านไฟล์ ติดตั้งแพ็กเกจ เรียก API และใช้ credential ได้

แต่การให้ความสามารถเหล่านั้นเท่ากับการให้กุญแจทั้งเครื่อง

OpenShell จึงเลือกวิธีให้ความสามารถแบบจำกัดขอบเขต แทนการปิดกั้นทั้งหมด

แต่ละ agent รันในแซนด์บ็อกซ์แยก และถูกควบคุมด้วยกลไกของเคอร์เนลว่าอ่านไฟล์ใดได้ และเรียก system call ใดได้

ทุกการเชื่อมต่อเครือข่ายต้องผ่านการตรวจสอบนโยบายก่อนออกจากแซนด์บ็อกซ์

จุดนี้สำคัญเพราะมันไม่ได้พึ่งความร่วมมือของ agent หรือ prompt ที่บอกว่า "ห้ามทำ" แต่บังคับที่ระดับที่ agent เลี่ยงไม่ได้

เอกสารระบุชัดว่า agent ไม่เคยเห็น credential จริง

OpenShell จะเติม credential ให้เฉพาะคำขอที่ไปยังปลายทางที่ได้รับอนุมัติเท่านั้น

นี่คือการออกแบบที่ตอบโจทย์การใช้งานจริง เพราะปัญหาที่พบบ่อยคือ agent เผลอใส่คีย์ลงในโค้ดหรือส่งข้อมูลออกไปนอกเครื่อง ซึ่งเอกสารด้านความปลอดภัยของโครงการเองก็เตือนว่าปลายทางที่อนุญาตทุกจุดคือช่องทางรั่วไหลที่ทำได้

ก่อนนโยบายใหม่จะมีผล ระบบจะใช้การพิสูจน์เชิงรูปแบบเพื่อชี้ความเสี่ยงที่เกิดขึ้น เช่น การเข้าถึงโฮสต์ใหม่พร้อม credential หรือการเรียกเมธอด API ใหม่

รายการเสี่ยงจะถูกพักไว้รอคนตรวจ ไม่ได้เปิดให้อัตโนมัติ

การพิสูจน์เชิงรูปแบบไม่ได้แปลว่าไม่มีช่องโหว่ แต่แปลว่าความเปลี่ยนแปลงจะไม่ผ่านไปเงียบ ๆ

ไฟล์นโยบายเป็น YAML และมีห้าส่วนหลักที่คุมคนละเรื่อง

ส่วนแรกคือ filesystem_policy กำหนดพาธที่โปรเซสอ่านได้หรืออ่านและเขียนได้ โดยบังคับด้วย Landlock ซึ่งเป็นกลไกความปลอดภัยในเคอร์เนลลินุกซ์

ส่วนที่สองคือ landlock กำหนดว่าถ้าใช้กฎไฟล์ระบบไม่ได้ แซนด์บ็อกซ์จะยังเริ่มทำงานหรือไม่

ส่วน process กำหนดผู้ใช้และกลุ่มที่โปรเซสใช้ ซึ่งถูกล็อกตอนสร้างแซนด์บ็อกซ์ด้วย Docker หรือ Podman

ส่วน network_policies กำหนดปลายทางที่แต่ละไบนารีเข้าถึงได้ และคำขอแบบไหนที่ส่งได้

ค่าเริ่มต้นคือปฏิเสธทุกการเชื่อมต่อออกนอกแซนด์บ็อกซ์ เว้นแต่มีกฎอนุญาต

ส่วนสุดท้ายใช้ตรวจ แปลง หรือบล็อกทราฟฟิกที่กฎอนุญาตไว้แล้ว

มันมีประโยชน์เมื่อคุณอยากให้ agent อ่าน API ได้แต่ห้ามเขียน หรืออยากกรองข้อมูลก่อนออกนอกเครื่อง

ระบบมี gateway ทำหน้าที่เป็นศูนย์ควบคุมแซนด์บ็อกซ์ นโยบาย และสิทธิ์การเข้าถึง

มี supervisor คอยกำกับ และมีแซนด์บ็อกซ์เป็นที่ที่งานจริงเกิดขึ้น

ถ้าองค์กรคุณใช้ Kubernetes อยู่แล้ว มี Helm chart สำหรับติดตั้ง gateway โดยต้องมี CNI ที่บังคับ NetworkPolicy ได้

curl -LsSf https://raw.githubusercontent.com/NVIDIA/OpenShell/main/install.sh | sh openshell sandbox create --name demo Enter fullscreen mode Exit fullscreen mode อิมเมจเริ่มต้นเป็น Ubuntu ขนาดเล็กที่ยังไม่มี agent ติดตั้งมาให้

ถ้าต้องการลองของจริง เอกสารมีบทแนะนำให้รัน OpenCode กับโมเดลฟรีผ่าน OpenRouter และแสดงขั้นตอนอนุมัติสิทธิ์เมื่อ agent ขอเข้าถึงสิ่งใหม่

รีโปมี SDK สำหรับ Python, TypeScript, Go และ Rust

ฝั่ง Python ติดตั้งผ่าน pip หรือ uv ได้ และมีแพ็กเกจอยู่บน PyPI แล้ว

นอกจากตัวรันไทม์แล้ว ยังมีสกิลสาธารณะสำหรับ coding agent เพื่อสอนให้มันใช้ CLI เขียน policy และ debug gateway

จุดนี้ทำให้วงจรการตั้งค่าไม่ต้องรอคนเขียน YAML เองทุกครั้ง

ณ วันที่ผมเปิดดู รีโปนี้มีดาว 20,191 ดวง และมีคน fork 1,988 ครั้ง

สร้างเมื่อ 24 กุมภาพันธ์ 2026 และมีการอัปเดตล่าสุดในวันเดียวกันกับที่ผมตรวจ

เอกสารชุดล่าสุดระบุเวอร์ชัน v0.1.5 และหน้าแรกของรีโปมีลิงก์คู่มืออัปเกรดสำหรับผู้ที่ใช้เวอร์ชันก่อนหน้า

รีโปมี issue ที่ยังเปิดอยู่ราว 390 รายการ และ pull request ที่เปิดอีกราว 210 รายการ ส่วนตัวเลข 600 ที่ GitHub แสดงบนหน้ารีโปคือผลรวมของสองอย่าง

ตัวเลขนี้ไม่ใช่สัญญาณว่าโครงการมีปัญหา แต่มันบอกว่านี่คือซอฟต์แวร์ที่ยังเคลื่อนไหวเร็วและยังไม่ได้นิ่ง

เครื่องของคุณต้องมี Linux, macOS บน Apple Silicon หรือ Windows ที่ใช้ WSL 2 ซึ่งยังเป็นสถานะทดลอง

สำหรับ Windows แบบเนทีฟ ทีมงานมีเส้นทางผ่าน Microsoft MXC บนสถาปัตยกรรม x64 และ ARM64 แต่เอกสารระบุว่ายังอยู่ระหว่างพัฒนาและยังไม่ผ่านเกณฑ์ความปลอดภัยระดับพร้อมใช้งานจริง

และต้องมี Docker, Podman หรือระบบเสมือนที่รันบนโฮสต์ได้

แปลว่ามันไม่ใช่โปรแกรมที่ดับเบิลคลิกแล้วจบ และแม้จะมีเส้นทาง Windows แบบเนทีฟ แต่ก็ยังไม่พร้อมใช้ในงานจริง

รีโปแจ้งว่าเก็บ telemetry แบบไม่ระบุตัวตน และระบุหมวดข้อมูลที่ไม่เก็บ เช่น ชื่อแซนด์บ็อกซ์ ชื่อโฮสต์ พาธไฟล์ พรอมป์ credential

ปิดได้ด้วยการตั้งค่า OPENSHELL_TELEMETRY_ENABLED=false ที่ gateway หรือแก้ค่าใน Helm

ถ้าไฟล์นโยบายในอิมเมจไม่ถูกต้อง เวิร์กโหลดจะไม่เริ่มจนกว่าจะแก้ไข

ระบบไม่อ่านข้ามและใช้ค่าเริ่มต้นให้ ซึ่งเป็นพฤติกรรมที่ปลอดภัยแต่ทำให้คนใหม่ติดขัดได้ง่าย

การพิสูจน์เชิงรูปแบบตรวจเฉพาะส่วนของนโยบายที่ตัวพิสูจน์ตรวจ และผลผ่านไม่ได้แปลว่านโยบายจะแคบที่สุดหรือปลอดภัยกับทุกกรณี

ถ้า agent ถูกหลอกให้ใช้สิทธิ์ที่มีอยู่ไปในทางผิด การป้องกันยังต้องอาศัยการออกแบบสิทธิ์ให้น้อยที่สุดอยู่ดี

เอกสารที่ผมอ่านไม่ได้ให้ตัวเลขว่าแซนด์บ็อกซ์ทำให้ agent ช้าลงกี่เปอร์เซ็นต์

ถ้าคุณทำงานที่ความเร็วมีผลต่อต้นทุน ต้องวัดเองบนงานของคุณ

ถ้าคุณปล่อยให้ agent รันในโฟลเดอร์โปรเจกต์โดยไม่มีกรอบ มันอ่านไฟล์ทุกไฟล์ที่ผู้ใช้มีสิทธิ์อ่านได้

รวมถึงไฟล์ที่เก็บคีย์ API และไฟล์กำหนดค่าที่ไม่ควรออกนอกเครื่อง

เมื่อ agent อ่านหน้าเว็บหรือเอกสารที่คนอื่นควบคุม มีโอกาสที่คำสั่งแปลกปลอมจะถูกฝังมาในเนื้อหา และ agent อาจทำตามโดยไม่รู้ตัว

การจำกัดปลายทางเครือข่ายและ credential ช่วยลดขอบเขตความเสียหายไม่ให้เกินสิทธิ์ที่ policy ให้ไว้

ถ้าทีมคุณใช้ Claude Code หรือ Codex บนเครื่องส่วนตัวและมีข้อมูลลูกค้าอยู่ในเครื่องเดียวกัน การมีชั้นบังคับนโยบายเป็นเรื่องที่ควรทำก่อนเกิดเหตุ

แต่ต้องยอมรับว่าการตั้งค่าใช้เวลา และไม่ใช่ทุกทีมจะพร้อม

NVIDIA OpenShell คือรันไทม์ที่บังคับสิทธิ์ของ AI agent ที่ระดับเคอร์เนล และใช้การพิสูจน์เชิงรูปแบบตรวจการเปลี่ยนนโยบาย

มันไม่ได้ทำให้ agent เก่งขึ้น แต่ทำให้ความเสียหายมีขอบเขตจำกัด

ตัวเลข 20,191 ดาวและซอฟต์แวร์เวอร์ชัน 0.1.5 บอกว่านี่คือของใหม่ที่คนสนใจมากและยังพัฒนาอยู่

ในมุมมองของผม คุณค่าที่แท้จริงของมันไม่ใช่การกัน agent ไม่ให้ทำงาน แต่คือการทำให้เรากล้าปล่อยให้มันทำงานมากขึ้น เพราะรู้ว่ามันแตะได้เท่าที่เราอนุญาต

และนั่นคือสิ่งที่ทีมซอฟต์แวร์ส่วนใหญ่ยังขาดอยู่

AI กับ Peesamac (ต.ค. 2026) · โพสต์แนะนำ NVIDIA OpenShell. https://www.facebook.com/61569659679064/posts/122178072842655322/

NVIDIA (24 ก.พ. 2026) · NVIDIA/OpenShell (README). https://github.com/NVIDIA/OpenShell

NVIDIA (2026) · Sandbox Policies (docs v0.1.5). https://docs.nvidia.com/openshell/how-it-works/policies/overview

NVIDIA (2026) · openshell บน PyPI. https://pypi.org/project/openshell/

NVIDIA (2026) · Policy Prover. https://docs.nvidia.com/openshell/how-it-works/policies/prover

NVIDIA (2026) · Security best practices. https://docs.nvidia.com/openshell/security/best-practices

NVIDIA (2026) · Windows build and runtime guide (Microsoft MXC). https://github.com/NVIDIA/OpenShell/blob/main/WINDOWS.md