Sichere Ausführung von KI-Agenten auf Kubernetes mit OpenShell

NVIDIAs OpenShell ist als dedizierte Laufzeitumgebung zur sicheren Ausführung von KI-Agenten innerhalb von Kubernetes-Clustern in die CNCF-Sandbox aufgenommen worden. Das Ende 2026 veröffentlichte Tool adressiert die Sicherheitsrisiken autonomer Agenten, die Shell-Befehle ausführen, auf Dateien zugreifen und Netzwerkverbindungen verwalten, während sie sensible Zugangsdaten halten. Durch die Integration des Agent-Sandbox-Projekts der SIG Apps ermöglicht OpenShell Plattform-Ingenieuren die Durchsetzung strenger Richtlinien pro Anfrage, ohne die Sichtbarkeit auf Standard-Kubernetes-Objekte zu beeinträchtigen.

Was passiert ist

KI-Agenten sind zunehmend in der Lage, komplexe Aufgaben über einfache API-Aufrufe hinaus auszuführen, wie das Installieren von Paketen, das Lesen lokaler Dateien und das Öffnen von Netzwerk-Sockets. Da diese Agenten oft auf nicht vertrauenswürdige Daten reagieren, die aus dem Internet abgerufen werden, stellen sie ein erhebliches Sicherheitsrisiko dar, wenn ihnen echte Zugangsdaten gewährt werden. OpenShell wurde entwickelt, um jeden Agenten als nicht vertrauenswürdigen Code zu behandeln und ihn in einer isolierten Sandbox auszuführen, in der ein vertrauenswürdiger Supervisor jede Aktion explizit genehmigt.

Das Projekt verwendet eine YAML-basierte Konfiguration, um vier spezifische Arten der Kontrolle zu deklarieren: Dateisystemzugriff über Landlock, Prozessprivilegien mittels seccomp und Nicht-Root-Benutzern, Netzwerk-Traffic-Regeln pro Binary und Host sowie Credential-Management, das Platzhalter nur an erlaubten Endpunkten durch echte Schlüssel ersetzt. Im Gegensatz zur traditionellen Containersicherheit kann OpenShell zwischen verschiedenen Aktionen desselben Binaries unterscheiden, z. B. GET-Anfragen an GitHub zulassen, während POST-Anfragen blockiert werden, und es kann diese Richtlinien auf laufenden Sandboxes aktualisieren, ohne Neustarts erforderlich zu machen.

Für Kubernetes-Administratoren nutzt OpenShell vorhandene Ökosystem-Tools, anstatt sie zu ersetzen. Es enthält keinen eigenen Scheduler, sondern verlässt sich auf Agent Sandbox, um Agentendefinitionen in standardmäßige Kubernetes-Ressourcen wie Pods, Services und NetworkPolicies zu übersetzen. Dieser Ansatz stellt sicher, dass Agenten für bestehende operationale Tools wie kubectl, Audit-Logs und Policy-Engines wie Kyverno sichtbar bleiben, während eine Schicht granularer Kontrolle hinzugefügt wird, die native Kubernetes-Ressourcen nicht bieten können.

Wie es funktioniert

Die Architektur konzentriert sich auf ein Gateway, das den Lebenszyklus jeder Sandbox verwaltet, und einen Supervisor-Pod, der die gesamte Kommunikation für einen spezifischen Agenten vermittelt. Wenn ein Benutzer eine Sandbox über die OpenShell-Gateway-API erstellt, generiert das System eine angehaltene Agent-Sandbox-Ressource. Der Controller erstellt dann einen Arbeitslast-Pod mit strengen Scheduling-Gates, um sicherzustellen, dass kein ausgehender Netzwerkzugriff existiert, bis der Supervisor bereit ist. Der Supervisor authentifiziert sich beim Gateway unter Verwendung einer Identität, die an den Namespace und die Sandbox-UID gebunden ist, und etabliert einen sicheren Kanal zur Arbeitslast.

Sobald der Supervisor verbunden ist, erzwingt er die deklarierten Richtlinien, bevor der Befehl des Agenten überhaupt startet. Jede ausgehende Anfrage vom Agenten wird vom Supervisor abgefangen, der das Ziel, den Port, das aufrufende Binary und die HTTP-Methode gegen die aktive Richtlinie prüft. Wenn die Anfrage erlaubt ist, öffnet der Supervisor die Upstream-Verbindung; wenn sie abgelehnt wird, wird die Anfrage sofort blockiert. Dieses Modell ermöglicht dynamische Richtlinienaktualisierungen, bei denen Änderungen geladen und von der Sandbox bestätigt werden, ohne einen vollständigen Pod-Neustart oder eine Unterbrechung zu erfordern.

Wichtige Details

• OpenShell nutzt die agents.x-k8s.io Sandbox-Ressource der SIG Apps und bildet Agenten auf standardmäßige Kubernetes-Pods und -Services ab.
• Die Isolation des Dateisystems wird durch Landlock gehandhabt, das Schreibzugriffe auf spezifische Pfade wie /sandbox und /tmp beschränkt, während Systemverzeichnisse schreibgeschützt bleiben.
• Netzwerkrichtlinien werden von einem Supervisor durchgesetzt, der den Traffic pro Binary inspiziert und granulare Regeln wie das Zulassen von curl-Lesevorgängen, aber das Blockieren von Schreibvorgängen ermöglicht.
• Zugangsdaten werden dem Agenten niemals direkt offengelegt; der Supervisor tauscht Platzhalterwerte nur an erlaubten Endpunkten gegen echte API-Schlüssel aus.
• Die Erstellung erfordert derzeit den direkten Aufruf der Gateway-API, da es noch keine nativen Kubernetes-CRDs für OpenShell-Sandboxes gibt.
• Die Demo-Umgebung läuft auf Kubernetes 1.35 mit Cilium 1.20, Agent Sandbox v1.0.5 und Kyverno 1.18.2 für die Admission Control.

Warum es wichtig ist

Für Teams, die KI-gestützte Plattformen entwickeln, besteht die primäre Herausforderung darin, die Autonomie der Agenten mit der Einhaltung von Sicherheitsvorschriften in Einklang zu bringen. Traditionelle Kubernetes-NetworkPolicies können einschränken, welche Pods mit welchen Hosts kommunizieren dürfen, aber sie können weder den Inhalt des Traffics noch die Absicht der Anwendung prüfen, die die Anfrage stellt. OpenShell schließt diese Lücke durch die Bereitstellung einer anwendungsorientierten Durchsetzung von Richtlinien und stellt sicher, dass ein Agent nicht versehentlich oder böswillig Daten exfiltrieren oder Produktionssysteme modifizieren kann, selbst wenn die Container-Laufzeitumgebung kompromittiert wird.

Darüber hinaus behält OpenShell die Kompatibilität mit bestehenden Kubernetes-Betriebsworkflows bei. Da Agenten als Standard-Pods und -Services erscheinen, müssen Plattform-Ingenieure keinen vollständig neuen Observability-Stack lernen. Sie können weiterhin vertraute Tools für Logging, Monitoring und rollenbasierte Zugriffskontrolle nutzen, während sie sich auf OpenShell verlassen, um die nuancierten Sicherheitsanforderungen autonomer Agenten zu handhaben. Dies reduziert den operativen Aufwand bei der Einführung von KI-Agenten in Unternehmensumgebungen, in denen Nachvollziehbarkeit und Least-Privilege-Zugriff obligatorisch sind.

Was Sie tun können

• Installieren Sie Cilium als Ihr CNI, um sicherzustellen, dass sowohl Ingress- als auch Egress-NetworkPolicies in Ihrem Cluster effektiv durchgesetzt werden.
• Stellen Sie den Agent-Sandbox-Controller und die CRDs bereit, bevor Sie das OpenShell-Gateway-Helm-Chart installieren, um die erforderliche Infrastruktur einzurichten.
• Verwenden Sie Kyverno oder ähnliche Policy-Engines, um Admission Controls für Sandbox-Images, Ressourcenlimits und RBAC-Regeln durchzusetzen.
• Definieren Sie Workspaces in OpenShell, um Sandboxes, Richtlinien und Logs für ein einfacheres Management und Auditing von Agentenaktivitäten zu gruppieren.
• Testen Sie Richtlinienaktualisierungen auf laufenden Sandboxes, um zu überprüfen, dass dynamische Regeländerungen angewendet werden, ohne die Agentenausführung zu stören.
• Prüfen Sie die OpenShell-Roadmap auf zukünftige Unterstützung für Kubernetes-native CRDs und flexible Bereitstellungsoptionen für großskalige Umgebungen.