Ejecución segura de agentes de IA en Kubernetes con OpenShell

OpenShell de NVIDIA ha entrado en el CNCF Sandbox como un entorno de ejecución dedicado para ejecutar agentes de IA de forma segura dentro de clústeres de Kubernetes. Lanzado a finales de 2026, esta herramienta aborda los riesgos de seguridad de los agentes autónomos que ejecutan comandos de shell, acceden a archivos y gestionan conexiones de red mientras poseen credenciales sensibles. Al integrarse con el proyecto Agent Sandbox del SIG Apps, OpenShell permite a los ingenieros de plataforma aplicar políticas estrictas por solicitud sin sacrificar la visibilidad sobre los objetos estándar de Kubernetes.

Qué ocurrió

Los agentes de IA son cada vez más capaces de realizar tareas complejas más allá de las simples llamadas a API, como instalar paquetes, leer archivos locales y abrir sockets de red. Dado que estos agentes suelen actuar sobre datos no confiables obtenidos de internet, representan un riesgo significativo de seguridad cuando se les otorgan credenciales reales. OpenShell fue desarrollado para tratar a cada agente como código no confiable, ejecutándolo en un sandbox aislado donde un supervisor confiable aprueba explícitamente cada acción.

El proyecto utiliza una configuración basada en YAML para declarar cuatro tipos específicos de control: acceso al sistema de archivos mediante Landlock, privilegios de proceso usando seccomp y usuarios no root, reglas de tráfico de red por binario y host, y gestión de credenciales que sustituye marcadores de posición por claves reales solo en endpoints permitidos. A diferencia de la seguridad tradicional de contenedores, OpenShell puede distinguir entre diferentes acciones realizadas por el mismo binario, como permitir una solicitud GET a GitHub mientras bloquea una solicitud POST, y puede actualizar estas políticas en sandboxes en ejecución sin reinicios.

Para los administradores de Kubernetes, OpenShell aprovecha herramientas existentes del ecosistema en lugar de reemplazarlas. No incluye su propio planificador, sino que depende de Agent Sandbox para traducir las definiciones de agentes en recursos estándar de Kubernetes como Pods, Services y NetworkPolicies. Este enfoque garantiza que los agentes sigan siendo visibles para las herramientas operativas existentes como kubectl, registros de auditoría y motores de políticas como Kyverno, añadiendo una capa de control granular que los recursos nativos de Kubernetes no pueden proporcionar.

Cómo funciona

La arquitectura se centra en una puerta de enlace (gateway) que gestiona el ciclo de vida de cada sandbox y un pod supervisor que media toda la comunicación para un agente específico. Cuando un usuario crea un sandbox a través de la API del gateway de OpenShell, el sistema genera un recurso Agent Sandbox suspendido. El controlador luego crea un pod de carga de trabajo con puertas de programación estrictas, asegurando que no exista acceso de red saliente hasta que el supervisor esté listo. El supervisor se autentica con la puerta de enlace utilizando una identidad vinculada al namespace y al UID del sandbox, estableciendo un canal seguro hacia la carga de trabajo.

Una vez que el supervisor se conecta, aplica las políticas declaradas antes de que comience incluso el comando del agente. Cada solicitud saliente del agente es interceptada por el supervisor, que verifica el destino, el puerto, el binario llamador y el método HTTP contra la política activa. Si la solicitud está permitida, el supervisor abre la conexión ascendente; si es denegada, la solicitud se bloquea inmediatamente. Este modelo permite actualizaciones dinámicas de políticas, donde los cambios se cargan y confirman por el sandbox sin requerir un reinicio completo del pod o una suspensión.

Detalles clave

• OpenShell utiliza el recurso Sandbox agents.x-k8s.io del SIG Apps, mapeando agentes a Pods y Services estándar de Kubernetes.
• El aislamiento del sistema de archivos es gestionado por Landlock, restringiendo el acceso de escritura a rutas específicas como /sandbox y /tmp mientras mantiene los directorios del sistema en modo solo lectura.
• Las políticas de red son aplicadas por un supervisor que inspecciona el tráfico por binario, permitiendo reglas granulares como habilitar lecturas con curl pero bloquear escrituras.
• Las credenciales nunca se exponen directamente al agente; el supervisor sustituye valores de marcador de posición por claves API reales solo en endpoints permitidos.
• La creación actualmente requiere llamar directamente a la API del Gateway, ya que aún no existe un CRD nativo de Kubernetes para los sandboxes de OpenShell.
• El entorno de demostración se ejecuta en Kubernetes 1.35 con Cilium 1.20, Agent Sandbox v1.0.5 y Kyverno 1.18.2 para el control de admisión.

Por qué importa

Para los equipos que construyen plataformas impulsadas por IA, el principal desafío es equilibrar la autonomía del agente con el cumplimiento de seguridad. Las NetworkPolicies tradicionales de Kubernetes pueden restringir qué pods pueden hablar con qué hosts, pero no pueden inspeccionar el contenido del tráfico ni la intención de la aplicación que realiza la solicitud. OpenShell llena este vacío proporcionando aplicación consciente de políticas, asegurando que un agente no pueda exfiltrar datos accidentalmente o maliciosamente ni modificar sistemas de producción, incluso si compromete el runtime del contenedor.

Además, OpenShell mantiene la compatibilidad con los flujos de trabajo operativos existentes de Kubernetes. Dado que los agentes aparecen como pods y servicios estándar, los ingenieros de plataforma no necesitan aprender una pila de observabilidad completamente nueva. Pueden seguir utilizando herramientas familiares para registro, monitoreo y control de acceso basado en roles, confiando en OpenShell para manejar los requisitos de seguridad matizados de los agentes autónomos. Esto reduce la sobrecarga operativa de adoptar agentes de IA en entornos empresariales donde la auditabilidad y el acceso de mínimo privilegio son obligatorios.

Qué puedes hacer

• Instala Cilium como tu CNI para asegurar que tanto las NetworkPolicies de entrada como de salida se apliquen eficazmente en tu clúster.
• Despliega el controlador Agent Sandbox y los CRDs antes de instalar el chart Helm del gateway de OpenShell para establecer la infraestructura requerida.
• Utiliza Kyverno o motores de políticas similares para aplicar controles de admisión sobre imágenes de sandbox, límites de recursos y reglas RBAC.
• Define espacios de trabajo en OpenShell para agrupar sandboxes, políticas y registros, facilitando la gestión y auditoría de las actividades de los agentes.
• Prueba las actualizaciones de políticas en sandboxes en ejecución para verificar que los cambios de reglas dinámicos se apliquen sin interrumpir la ejecución del agente.
• Revisa la hoja de ruta de OpenShell para futuros soportes de CRDs nativos de Kubernetes y opciones de despliegue flexibles para entornos a gran escala.