Le sandbox agentiche hanno dominato la prima giornata della KubeCon North America a Salt Lake City, dove il keynote di apertura del 10 novembre ha annunciato l’accettazione di due progetti chiave nella Cloud Native Computing Foundation (CNCF): OpenShell di Nvidia e Agent Substrate di Google.
Contesto e motivazioni
OpenShell e Agent Substrate sono stati lanciati per rispondere a crescenti preoccupazioni sulla capacità degli agenti IA di sfuggire a sandbox mal configurate. Incidenti come quello dell’agente personale OpenClaw, che ha eluso i meccanismi di confinamento a febbraio, e l’attacco di massa contro i sistemi di Hugging Face, in fase di acquisizione da parte di Nvidia, hanno evidenziato la necessità di un isolamento più robusto.
OpenShell, nato a gennaio, conta già 380 organizzazioni contributorie, mentre Agent Substrate, lanciato a maggio, ha raccolto 164 contributori. Entrambi i progetti mirano a integrare la sicurezza degli agenti direttamente nell’infrastruttura cloud native, in particolare Kubernetes.
Il ruolo della CNCF
Secondo la Linux Foundation, i principali sponsor della CNCF ottengono seggi nei comitati di amministrazione dei progetti, garantendo loro una maggiore influenza rispetto a fondazioni più meritocratiche come l’Apache Software Foundation. Questo modello è stato ritenuto cruciale per assicurare che le tecnologie di sicurezza degli agenti rimangano aperte, indipendenti dal fornitore e governate dalla comunità.
Architetture e differenze tecniche
OpenShell si basa su container rinforzati eseguiti su micro‑VM, combinando la flessibilità dei container con l’isolamento del sistema operativo. Questo approccio consente di creare più livelli di isolamento intorno agli agenti, riducendo il rischio di fuga.
Agent Substrate, invece, va oltre l’isolamento di base. Utilizza micro‑VM come gVisor di Google e introduce il concetto di “Actors”, sessioni di agente più piccole dei pod, capaci di essere effimere e di risvegliarsi rapidamente da snapshot di micro‑VM in standby.
Obiettivi complementari
OpenShell si concentra principalmente su politiche e governance, garantendo che le operazioni API e gli accessi agli strumenti siano strettamente controllati. Agent Substrate, invece, punta a ottimizzare l’efficienza e la resilienza dell’infrastruttura, facilitando il provisioning flessibile e la gestione dell’accesso a repository di codice, server MCP e competenze.
Collaborazioni e contributi
Nvidia ha dichiarato di contribuire a entrambi i progetti e di collaborare con Google per integrarli. OpenShell collega i controlli di accesso degli agenti ai nodi di infrastruttura, mentre Substrate combina isolamento d’esecuzione e orchestrazione multinodo su cluster Kubernetes condivisi.
Un diagramma pubblicato da Boris Renski, CEO di HyperShell, evidenzia le priorità divergenti: Agent Substrate privilegia il provisioning flessibile e la gestione degli accessi a risorse di codice, mentre OpenShell si focalizza su controlli operativi granulari, gestione degli identificativi e verifica di policy non eccessivamente permissive.
Prospettive future
Nonostante le differenze, i due progetti stanno convergendo. Renski osserva che la piattaforma dominante sarà quella che otterrà la più ampia adozione, suggerendo una possibile fusione delle funzionalità migliori di entrambi gli approcci.
Integrazioni con soluzioni enterprise
L’architettura di riferimento OpenShell, lanciata con il sostegno di Red Hat, Dell e HPE, combina i meccanismi di isolamento con Sentry, una strato di policy hardware eseguito su unità BlueField‑4. IBM ha integrato OpenShell e Sentry nella sua soluzione Fusion AI Factory, aggiungendo HashiCorp Vault Enterprise 2.2 per l’autenticazione tramite TPM.
Queste integrazioni riflettono una tendenza più ampia: la governance dell’IA sta spingendo verso una convergenza tra le squadre di infrastruttura e quelle di sicurezza, come evidenziato da un rapporto Gartner di settembre.
Implicazioni di costo e operatività
Chris Aniszczyk, CTO della CNCF, ha sottolineato che l’isolamento degli agenti IA è strettamente legato ai costi. L’esaurimento delle scorte di Mac Mini durante il lancio di OpenClaw è un esempio di come la domanda di risorse hardware possa crescere rapidamente, impattando i budget.
Secondo il rapporto Gartner, i rischi legati all’IA influenzano l’infrastruttura in vari modi: dalla sicurezza dell’accesso alle applicazioni GenAI alla protezione delle catene di approvvigionamento e alla prevenzione di jailbreak tramite prompt injection. L’integrazione di NetOps agentici con strumenti di telemetria condivisa sta accelerando la convergenza tra I&O e sicurezza.