大道至简：用 700 行纯 Python 从零手搓 NVIDIA OpenShell 零信任 Agent 沙箱
当自治 AI Agent 具备执行任意 Bash 命令与读写本地文件的能力时，传统的容器边界已不再安全。本文通过架构裁剪方法论，将数万行代码的 NVIDIA OpenShell 浓缩为 5 个核心文件，带你从 Linux 内核命名空间到底层形式化验证，手搓一个通过 19 项红蓝对抗回归测试的最小完备实现（nano-openshell）。
当自治 AI Agent 具备执行任意 Bash 命令与读写本地文件的能力时，传统的容器边界已不再安全。本文通过架构裁剪方法论，将数万行代码的 NVIDIA OpenShell 浓缩为 5 个核心文件，带你从 Linux 内核命名空间到底层形式化验证，手搓一个通过 19 项红蓝对抗回归测试的最小完备实现（nano-openshell）。