NVIDIA OpenShell 和 Google Agent Substrate 进入 CNCF：Agent 沙箱正在从“厂商

2026 年 11 月 10 日，在 KubeCon + CloudNativeCon North America 上，CNCF 接受了两个重要的 Agent 运行时项目：NVIDIA 贡献的 OpenShell 成为 Sandbox 项目，Google 贡献的 Agent Substrate 也进入了 CNCF Sandbox。同一天，Akamai 开始提供 Agent Sandbox 服务，腾讯云的 CubeSandbox 也在生产环境中运行。

OpenShell 的定位写得很清楚：一个用于保护和治理自主 AI Agent 的开源运行时。它的核心判断是：组织需要给 Agent 真实的能力，但不能给它们不受限制的数据、密钥或网络访问。这个约束需要在 Agent 之外执行，在 Agent 运行的基础设施层执行。OpenShell 采用 Cedar 作为策略语言，Cedar 本身也是 CNCF 项目，这形成了一个“CNCF 项目构建在 CNCF 项目之上”的治理结构。它的扩展点覆盖 provider、compute、governance、审批工作流、策略执行、隔离和凭据管理，允许团队增量采用，并且可以替换成自己已经在用的组件。

这个动作的意义不在于“又多了一个沙箱工具”，而在于 Agent 沙箱的治理层正在被标准化。在此之前，Agent 沙箱是一个厂商功能：每个云厂商、每个 Agent 框架提供自己的沙箱实现，策略语言、隔离模型、凭据管理各不相同。一个团队如果用了 A 厂商的沙箱，迁移到 B 厂商意味着重写策略和治理逻辑。OpenShell 进入 CNCF，并且采用 Cedar 这种中立的策略语言，意味着“Agent 能做什么、不能做什么”这个核心治理问题，开始有一个可移植的、厂商中立的表达方式。

但标准层的出现不意味着选型变得简单。OpenShell 目前是 Sandbox 级别的项目，成熟度和生产验证还在积累；Agent Substrate 和 OpenShell 的定位有重叠，也有差异，团队需要判断哪一个匹配自己的基础设施形状。一个务实的判断是：Agent 沙箱正在成为云原生技术栈的一个标准层，就像容器运行时和网络插件一样。如果你的团队正在为 Agent 设计权限边界，现在值得开始关注这个层的标准化进展，而不是把治理逻辑锁死在一个厂商的专有策略格式里。标准层的好处不是“现在就能用”，而是“未来迁移时不需要从零重写”。