El agente que vive al lado de tus llaves
Si montas agentes de IA en servidores propios, tarde o temprano te topas con el mismo dilema: para que el agente sirva de algo tiene que poder leer archivos, correr comandos, instalar paquetes y usar credenciales. Y justo ahí está el problema, porque en mis servidores, al lado de donde corren esos agentes, duermen llaves SSH, archivos de configuración con claves y los scripts de respaldo que suben copias de todo a la nube. Un agente convencido por una inyección de prompt puede hacer mucho daño antes de que me dé cuenta.
Esta semana apareció en Hacker News algo que ataca ese problema de frente: NVIDIA liberó OpenShell, un runtime de código abierto para flotas de agentes autónomos con aislamiento a nivel kernel. La pinta es seria: escrito mayoritariamente en Rust, con más de cien colaboradores y actividad diaria en su repositorio. No es un demo de marketing, es infraestructura que ya está en uso.
La seguridad va en el entorno, no en el modelo
La idea central de OpenShell es simple de decir y difícil de ejecutar: la política de seguridad vive fuera del proceso del agente. Nada está permitido por defecto; los permisos se otorgan mediante políticas declarativas en YAML, y lo elegante es que se evalúan fuera del alcance del agente, donde una inyección de prompt no puede tocarlas. No importa cuán persuasivo sea el texto que le metieron al agente por la ventana del navegador: si la política dice que no puede salir a internet salvo a dos dominios, no le va a salir ni rezándole al modelo.
La caja de herramientas es de las de verdad: el sistema de archivos se acota con Landlock, los procesos van amarrados con seccomp para bloquear escalada de privilegios, la red tiene políticas que se recargan en caliente, y las credenciales viajan como marcadores que solo se resuelven en los endpoints que la política autoriza. La llave no entra nunca al contexto del agente, y cada permitir y cada negar queda auditable. Corre encima de Docker, Podman, microVMs o Kubernetes, y entre sus casos de uso declarados están los agentes de código tipo Claude Code, Codex o OpenCode con acceso restringido a tus archivos reales.
Lo que yo hacía a la mala
Yo, como tantos que administramos VPS, llevo años resolviendo esto con lo que hay: usuarios dedicados por servicio, permisos mínimos, reglas de firewall, fail2ban, y una regla de oro de no dejar credenciales productivas al alcance de procesos que hacen cosas por sí solos. Funciona, pero es artesanal y se rompe fácil: cada nueva pega delegada a un agente abre una pregunta nueva, y el paso número uno siempre es darle contexto. Contexto más credenciales cerca es una receta incómoda.
Lo que valoro del enfoque de OpenShell no es el sandbox en sí — Sandboxes ha habido muchos: gVisor, Firejail, los microVMs de siempre — sino la capa de políticas unificada para flotas completas: cualquier modelo, cualquier harness, una sola política que gobierna dónde puede leer, a dónde puede salir y qué llaves puede pedir el agente. Eso es lo que le falta al que arma su zoo de agentes a mano.
Y siendo honesto: que sea NVIDIA no me entusiasma de entrada, es una empresa con larga historia de cerrar jardines. Pero el código está ahí, es abierto, es Rust auditable, y el problema que ataca es real. Si corres agentes en tus propios servidores, este proyecto merece aparecer en tu radar. Ya lo tengo anotado en la cola de pruebas para mi flota; cuando tenga una semana de corrido con políticas reales, lo cuento por acá.
Fuente de inspiración: OpenShell – A safe, private runtime for fleets of autonomous AI agents
