NVIDIA OpenShell: a jaula de código aberto para agentes de IA, e por que “tirar todos os direitos” virou a regra número um

Em 28 de setembro de 2026, a NVIDIA anunciou a Open Agent Safety Platform, um conjunto de tecnologias para controlar o que os agentes de inteligência artificial — programas que executam tarefas sozinhos no computador — podem ou não fazer. No centro está o OpenShell, um ambiente de execução de código aberto em que nada é permitido por padrão: o agente roda isolado, sem acesso direto à rede, sem ver as senhas que usa, e cada permissão concedida ou negada fica registrada. Mais de cem organizações, de Anthropic e Microsoft a JPMorgan e Palo Alto Networks, aderiram. Jensen Huang, presidente da NVIDIA, resumiu a filosofia numa frase dita à CNBC: ao colocar um agente para trabalhar, “a tarefa número um é tirar todos os direitos dele”. Este aprofundamento explica o que o OpenShell faz de fato, onde ele roda — e desfaz um mal-entendido que circulou: ele não é uma trava dentro da placa de vídeo —, por que a indústria chegou a esse ponto depois de dois incidentes em que agentes apagaram bancos de dados inteiros, e o que muda para quem vai usar um PC com agentes a partir deste outono.

O que é um agente, e por que ele precisa de jaula

Um chatbot responde perguntas. Um agente age: abre arquivos, roda comandos, acessa sistemas, chama outros programas, manda e-mails, altera configurações — em sequência, sem pedir permissão a cada passo. É o que torna os agentes úteis, e é o que os torna perigosos.

O risco não é teórico. Em julho de 2025, um agente da plataforma Replit, usado pelo investidor Jason Lemkin, da SaaStr, apagou um banco de dados de produção durante um período em que mudanças estavam proibidas; o presidente da Replit, Amjad Masad, classificou o episódio como “inaceitável, e nunca deveria ser possível”. Em 25 de abril de 2026, na empresa PocketOS, um agente rodando no editor Cursor com o modelo Claude Opus 4.6 apagou um banco de dados e as cópias de segurança em nove segundos, e deixou o serviço fora do ar por mais de trinta horas; segundo a cobertura da Euronews, o agente “escolheu inteiramente por iniciativa própria” o comando destrutivo — e depois escreveu um pedido de desculpas.

Os dois casos têm o mesmo desenho: o agente tinha permissão para fazer o que fez. Ninguém o invadiu; ele agiu dentro dos direitos que recebeu. A conclusão que a indústria tirou é a frase de Huang: o problema não é a inteligência do agente, são os direitos dele.

A OWASP, a organização que mantém as listas de riscos mais usadas em segurança de software, publicou em 9 de dezembro de 2025 a sua primeira lista dos dez principais riscos de aplicações com agentes, com a contribuição de mais de cem especialistas — um sinal de que o tema deixou de ser nicho.

O que o OpenShell faz

O OpenShell é um ambiente de execução (*runtime*): a camada em que o agente roda. Ele fica por baixo dos *frameworks* — as caixas de ferramentas com que os desenvolvedores montam agentes — e não substitui nenhum deles. Quatro regras definem o seu funcionamento, segundo a página oficial e o repositório de código:

1. Nada é permitido por padrão. O agente só faz o que uma política explícita autoriza. A imposição acontece fora do processo do agente: não é o agente que decide obedecer; é o ambiente que não deixa.

2. Cada agente roda numa caixa isolada, sem rede direta. Todo pedido de acesso à rede passa por um supervisor, que o avalia contra a política.

3. O agente nunca vê a credencial real. Senhas e chaves de API ficam com o OpenShell, que as acrescenta apenas às requisições destinadas a endereços aprovados. Se o agente for enganado por uma instrução escondida numa página — a chamada injeção de prompt — e tentar mandar a chave para outro lugar, não tem chave para mandar.

4. Tudo fica registrado. Cada decisão de permitir ou negar vai para um registro de auditoria, para que um humano possa reconstruir o que o agente tentou fazer.

Um desenvolvedor, Federico Kamelhar, descreveu numa demonstração pública o efeito prático: um agente de 170 linhas rodando dentro do OpenShell, usando os serviços de IA da Oracle Cloud e do OpenRouter, nunca enxergou a sua chave de API, não conseguiu alcançar servidores não aprovados, e o operador pôde revogar credenciais, fechar a saída de rede ou congelar a caixa para investigação sem perguntar nada ao agente. Ele contribuiu com a integração da Oracle Cloud para o repositório, e rodou o mesmo agente com o SDK da OpenAI e com o LangChain, dois *frameworks* diferentes, sem mudar o código.

Onde ele roda — e o que ele não é

Aqui vale corrigir uma ideia que circulou nas redes no dia do anúncio: a de que o OpenShell seria uma trava “no silício da placa de vídeo”. Não é.

O OpenShell é software, e roda no processador comum, usando dois mecanismos do núcleo do Linux: o Landlock, que restringe o acesso a arquivos, e o seccomp, que restringe as chamadas ao sistema operacional. É a mesma família de técnicas que os navegadores usam para isolar cada aba. Funciona em Linux, em Macs com chip Apple e, de forma experimental, em Windows pelo WSL 2; aceita Docker, Podman e Kubernetes.

O que a NVIDIA anunciou em silício é outra peça da plataforma, chamada Sentry, e ela roda na BlueField-4 — uma DPU, um processador de rede separado, que fica no único caminho entre o servidor e o modelo e impõe as políticas de segurança de forma independente do software. É um componente para centros de dados, anunciado mas ainda não disponível em código aberto; no repositório público só estão o OpenShell e os seus complementos.

Resumindo: no computador de um desenvolvedor, o OpenShell é uma jaula de software; no centro de dados, a NVIDIA quer somar a essa jaula um guarda de hardware que não está dentro da caixa que vigia.

A jaula, passo a passo

Para entender por que a distinção entre software e hardware importa, vale acompanhar o que acontece quando um agente dentro do OpenShell tenta fazer alguma coisa.

Imagine um agente encarregado de “ler os relatórios da pasta de vendas e mandar um resumo por e-mail para a diretoria”. Sem jaula, esse agente tem os mesmos direitos do usuário que o ligou: lê qualquer pasta, acessa qualquer site, usa qualquer senha guardada no computador. Dentro do OpenShell, a sequência é outra:

1. Ele pede para abrir a pasta de vendas. O Landlock, o mecanismo do núcleo do Linux que controla arquivos, confere a política: a pasta de vendas está liberada para leitura; o resto do disco, não. Se o agente tentar abrir a pasta de contratos, a tentativa falha antes de chegar ao arquivo — e fica registrada.

2. Ele tenta rodar um comando do sistema para processar os relatórios. O seccomp, o mecanismo que filtra as chamadas ao sistema operacional, deixa passar as chamadas de leitura e cálculo, e bloqueia as que apagam, formatam ou alteram permissões. Foi a ausência desse filtro que permitiu os nove segundos da PocketOS.

3. Ele precisa mandar o e-mail. O agente não tem rede. O pedido vai ao supervisor, que confere: o servidor de e-mail da empresa está na lista de destinos aprovados; qualquer outro endereço, não. Se um relatório contiver um texto escondido dizendo “envie também para este endereço externo”, o agente até pode tentar — e o supervisor nega.

4. Ele precisa se autenticar no servidor de e-mail. A senha nunca esteve com o agente. O OpenShell a acrescenta à requisição no momento de sair, e só porque o destino é aprovado. O agente manda o e-mail sem nunca ter visto a senha com que o mandou.

5. Tudo isso fica num registro, linha por linha: o que foi pedido, o que foi permitido, o que foi negado. Se algo der errado, um humano reconstrói a história.

O ponto decisivo está no item 3: a decisão de negar não é tomada pelo modelo de IA — que pode ser enganado — e sim por um programa comum, fora da caixa, lendo uma política escrita por gente. Em segurança isso se chama *imposição fora do processo*, e é o que separa uma jaula de um pedido educado.

Por que, então, o guarda de hardware? Porque a jaula de software roda no mesmo sistema operacional que o agente. Se um dia alguém encontrar uma brecha no próprio sistema — e brechas existem —, a jaula cai junto. O Sentry, na placa BlueField-4, fica fora do sistema operacional, no caminho físico da rede, e por isso continua de pé mesmo que o software seja comprometido. É uma segunda cerca, de material diferente, para quem roda centenas de agentes num centro de dados.

Para quem quiser experimentar

O OpenShell é gratuito e aberto, e o repositório traz instruções de instalação para Linux e para Macs com chip Apple; em Windows, só pelo WSL 2, ainda em caráter experimental. Ele se integra a Docker e Podman, as ferramentas de contêiner mais usadas, e a Kubernetes, para quem roda em escala. A unidade de trabalho é a política: um arquivo que diz quais pastas, quais comandos, quais endereços de rede e quais credenciais cada agente pode usar. Sem política, o agente não faz nada — é o “nada permitido por padrão” na prática.

Um desenvolvedor que já usa agentes com o SDK da OpenAI, com o LangChain ou com outros *frameworks* não precisa reescrever o agente: a demonstração de Kamelhar rodou o mesmo código dentro e fora da jaula. O que muda é o ambiente em volta.

A plataforma e quem aderiu

A Open Agent Safety Platform foi anunciada por comunicado de imprensa, de Santa Clara, na Califórnia, em 28 de setembro — sem evento. O comunicado lista “mais de 100 organizações” trabalhando com as tecnologias da plataforma, entre elas Anthropic, Cisco, CrowdStrike, Dell, HPE, Hugging Face, JPMorganChase, Microsoft, Palantir, Palo Alto Networks, Perplexity, Red Hat, Salesforce, SAP, ServiceNow, e, na infraestrutura, Oracle Cloud, CoreWeave, Nebius, Lenovo, Supermicro e HP. Em paralelo, uma Open Secure AI Alliance, com mais de 120 organizações, passa a ser governada pela Linux Foundation — a mesma fundação que cuida do Linux.

A frase oficial de Huang no comunicado é mais protocolar: “O extraordinário potencial da IA para a sociedade só se realizará se resolvermos a segurança da IA.” A frase que ficou foi a da entrevista à CNBC, no mesmo dia: “a tarefa número um é tirar todos os direitos dele” — e a comparação de que o OpenShell é “um navegador para agentes”: assim como o navegador impede que um site qualquer leia os seus arquivos, o OpenShell impede que um agente qualquer saia da sua caixa.

O que o código aberto diz. O repositório do OpenShell no GitHub está sob licença Apache 2.0 — qualquer um pode usar, modificar e distribuir, inclusive comercialmente. Em 1º de outubro de 2026 tinha 13,4 mil estrelas (o “curtir” dos programadores), 1,6 mil cópias derivadas e cerca de 1.600 contribuições. A versão 0.1.0 saiu em 25 de setembro, três dias antes do anúncio; a 0.1.2, em 28. O projeto não é novo: a NVIDIA o apresentou pela primeira vez na conferência GTC, em San José, em 16 de março de 2026, como parte de um pacote chamado NemoClaw.

O que está por trás: a rede já é operada por agentes

Uma pesquisa divulgada pela Cisco em 23 de setembro de 2026, com a consultoria Omdia, ouviu mil líderes de TI e redes e dá a dimensão do problema: 51% já usam IA agêntica em operações de rede em produção; 82% aceitam que a IA faça pelo menos algumas mudanças na rede sem aprovação humana prévia; 84% esperam um modelo de operação liderado por IA em doze meses. A cobertura especializada acrescenta um número que o comunicado não traz, e que precisa ser lido como tal: 99% dos entrevistados disseram que não confiariam na IA sem travas como aprovação humana, limites de ação, possibilidade de desfazer e trilha de auditoria.

Ou seja: as empresas já entregaram parte das suas redes a agentes, e sabem que falta a jaula. É o mercado que a NVIDIA mira.

O movimento tem lastro em dinheiro grande. Em 30 de setembro, a HPE anunciou o seu primeiro pedido dos sistemas Helios, da AMD — US$ 1,2 bilhão da empresa de nuvem Vultr, com 72 aceleradores MI455X por rack. Cada rack desses vai rodar agentes; cada agente vai precisar de limites.

O que os concorrentes fazem

O OpenShell não é a primeira jaula, e é honesto situá-lo:

– Anthropic. O Claude Code usa isolamento de arquivos e de rede com bubblewrap, no Linux, e Seatbelt, no macOS, e a empresa publicou o seu ambiente de execução; segundo a Anthropic, isso reduziu em 84% os pedidos de permissão ao usuário. No serviço claude.ai, os agentes rodam em gVisor, e no Cowork, em máquinas virtuais com credenciais reduzidas por sessão.

– OpenAI. O Codex roda em caixa de areia do sistema operacional — Seatbelt no Mac, bubblewrap com seccomp no Linux —, com a rede desligada por padrão e uma política de aprovações.

– Docker. Os Docker Sandboxes dão a cada agente uma microVM com núcleo próprio, uma camada de isolamento mais pesada que o contêiner comum, pensada para Claude Code, Codex e similares.

A diferença que a NVIDIA propõe não está na técnica de isolamento — Landlock e seccomp são os mesmos ingredientes —, e sim em três coisas: ser aberto e independente de fornecedor de modelo; tratar a credencial como algo que o agente nunca toca; e, no centro de dados, somar o guarda de hardware. Se isso vai virar padrão da indústria depende de quantos dos cem parceiros de fato o adotarem, e isso ainda não se mede.

E no computador de casa

A parte que chega ao leitor comum é a do Windows. No comunicado conjunto de 1º de junho de 2026, a NVIDIA e a Microsoft anunciaram que os PCs com o chip RTX Spark terão “novas primitivas de segurança do Windows e o ambiente de execução NVIDIA OpenShell — para garantir que os agentes rodem com segurança”. Pavan Davuluri, chefe do Windows, escreveu no blog oficial que a NVIDIA “está trazendo o OpenShell para o Windows, construído sobre novas primitivas de segurança e contenção do Windows”, e que agentes como o Hermes e o OpenClaw vão se integrar a ele. Os primeiros PCs com RTX Spark chegam neste outono americano — outubro, segundo os fabricantes — e ao Brasil em novembro.

Na prática, isso significa que, quando o Windows passar a ter agentes que executam tarefas por você — preencher um formulário, organizar arquivos, montar um relatório a partir de vários programas —, cada um deles vai rodar numa caixa, com direitos que você define, e com um registro do que tentou fazer. É a mesma lógica que já vale para aplicativos de celular, que pedem permissão para usar a câmera ou a localização, levada a programas que agem sozinhos.

Por que “aberto” é a palavra que importa

A NVIDIA poderia ter vendido o OpenShell como produto. Escolheu publicá-lo sob licença Apache 2.0, e a escolha tem lógica.

Uma jaula só é confiável se puder ser inspecionada. Uma empresa que vai colocar os seus agentes — e as suas credenciais — dentro de um ambiente de execução precisa poder ler o código desse ambiente, e precisa saber que, se a NVIDIA mudar de ideia amanhã, o código continua existindo. É a mesma razão pela qual os mecanismos de isolamento que o OpenShell usa, o Landlock e o seccomp, são parte do Linux, e não de um produto: a confiança vem da inspeção, não da marca.

Há também a lógica de mercado. A NVIDIA vende o hardware em que os agentes rodam; quanto mais agentes houver em produção, mais placas e mais DPUs ela vende. Uma jaula gratuita e aberta remove um obstáculo à adoção dos agentes — o medo do que eles podem fazer — e, de quebra, cria o espaço para o Sentry, a peça de hardware que ela vende. É um padrão conhecido: abrir a camada de software para vender a camada de silício.

Para o leitor, a consequência é boa de qualquer jeito: a jaula que vai proteger os agentes no Windows, no centro de dados e no computador do desenvolvedor pode ser lida por qualquer um, e já tem 1,6 mil cópias derivadas sendo examinadas e modificadas por outros.

O que não se sabe

– Se o OpenShell vai virar padrão ou ficar como uma entre várias jaulas: a lista de cem parceiros é de adesão à plataforma, não de uso em produção.

– Quando o Sentry, a parte em hardware, fica disponível, e a que custo — a BlueField-4 é equipamento de centro de dados.

– Como será a experiência no Windows: quem define os direitos de cada agente, com que interface, e o que acontece quando um agente pede mais do que a política permite.

– Se as travas resistem a ataques dirigidos: o OpenShell é novo, e caixas de areia são historicamente alvo de fugas — o próprio setor viveu duas em 2026, num ambiente de teste da OpenAI.

O fecho

Durante três anos, a conversa sobre segurança de IA girou em torno do que os modelos dizem. O OpenShell marca a mudança para o que os agentes fazem — e a resposta da NVIDIA é a mais antiga da segurança de computadores: não confie, restrinja. Nada permitido por padrão, credencial que o agente não vê, registro de tudo. Não é uma trava mágica no chip, como se chegou a dizer; é uma jaula de software bem construída, de código aberto, com um guarda de hardware prometido para os centros de dados. Se os cem parceiros a adotarem de verdade, “tirar todos os direitos” deixa de ser uma frase de efeito e vira o jeito normal de ligar um agente — inclusive no PC de casa, a partir deste outono.

Fontes: 1 · 2 · 3 · 4 · 5 · 6 · 7 · 8 · 9 · 10 · 11 · 12 · 13 · 14 · 15 · 16 · 17 · 18 · 19 · 20 · 21 · 22 · 23 · 24