NVIDIA가 자율 AI 에이전트를 분리된 환경에서 실행하는 OpenShell의 새 버전을 공개했다. 에이전트 운영자는 실행 중인 환경에 정책 변경을 더 빨리 전달하는 방식을 선택하고, 감사 기록을 외부 로그 수집 시스템으로 보낼 수 있다. 새 기능과 함께 로그 수집 규칙과 일부 연동 코드를 손보는 작업도 필요해졌다.

1. 주기적으로 묻는 대신 변경 내용을 바로 받는다

OpenShell v0.1.5는 2026년 10월 20일 공개됐다. 핵심은 에이전트 실행 환경인 샌드박스에 정책과 설정을 전달하는 새 방식이다. 샌드박스 쪽에서 변경 여부를 주기적으로 묻는 대신, 관리 창구인 게이트웨이가 연결된 감독 프로세스로 변경 내용을 밀어 넣는다.

회사 발표 기준으로 새 방식에서는 변경 사항이 샌드박스에 도달하는 데 약 100밀리초가 걸린다. 기존 주기적 확인 방식은 최대 10초가 걸릴 수 있으며 이번 버전에서도 기본값이다. 전자는 대략적인 전달 시간이고 후자는 최대 대기 시간이므로, 운영자가 읽어야 할 핵심은 배수 비교보다 변경을 기다리는 방식의 차이다.

새 방식을 쓰려면 설정에서 전달 모드를 push로 지정한다. 게이트웨이 내부에서도 변경 작업을 기다리는 줄을 작업공간과 샌드박스별로 나눴다. 여러 감독 프로세스가 한꺼번에 재접속해도 전체가 하나의 잠금, 동시 접근을 막는 제어 장치 뒤에 몰리던 문제를 줄이는 변경이다.

2. 감사 기록을 외부 로그 수집 경로에 연결한다

게이트웨이와 샌드박스 감독 프로세스는 보안 이벤트 공통 형식인 OCSF로 기록한 내용을 외부로 보낼 수 있다. 전송할 때는 관측 데이터 전송 규약인 OTLP의 로그 레코드 형식을 쓴다. 실행 흐름을 추적하는 정보와 보안 이벤트를 각각 다른 수집 주소로 보내는 기능도 추가됐다.

이 전송 기능은 설정에서 켜서 사용한다. 기존처럼 수집 주소 하나만 지정한 구성은 이전 동작을 유지한다. 운영팀은 추적 정보와 감사 기록을 같은 곳에 모으거나, 목적에 맞게 수집 경로를 나눌 수 있다.

거부된 요청도 인증 이벤트로 남는다. 기록에는 인증 방식과 거부 사유 분류, 요청을 보낸 주소, 요청 식별자가 포함된다. 요청을 거부했다는 사실뿐 아니라 어떤 방식과 사유로 거부했는지 확인할 재료가 늘어난 셈이다.

이벤트 형식도 보완됐다. 릴리스 노트에 따르면 운영체제 종류 식별자가 추가돼 OCSF 1.8 스키마, 데이터 항목과 구조를 정한 규칙 검증을 통과한다. 외부 수집 경로 확장과 기록 형식 보완이 함께 이뤄진 것이다.

3. 로그 수집 패턴과 보존 기록을 먼저 확인한다

감독 프로세스의 감사 로그는 날짜가 포함된 파일 이름과 줄 단위 JSON 형식을 사용한다. 기존 수집기가 openshell-ocsf.*.log를 찾고 있다면 패턴을 openshell-ocsf.*.jsonl로 바꿔야 한다.

기존 로그 파일은 새 형식으로 옮겨지지 않고 정리될 수 있으므로, 필요한 이력은 업그레이드 전에 수집해야 한다. 파일 이름 변경은 단순한 표기 수정이 아니라 수집기가 새 기록을 계속 찾아가는 데 필요한 이전 작업이다.

4. 샌드박스 생성 코드와 배포 규칙이 바뀐다

Go SDK, 개발 기능을 제공하는 도구 모음의 샌드박스 생성 함수는 정해진 위치에 라벨 인자를 넘기던 방식에서 기능별 옵션을 전달하는 방식으로 바뀌었다. 기존 옵션 구조체, 설정값을 묶어 전달하는 자료형도 제거돼, 해당 호출을 사용하는 코드는 새 방식에 맞춰 수정해야 한다. 라벨뿐 아니라 애노테이션, 대상을 설명하는 부가 정보와 서비스 노출 설정도 새 옵션 방식으로 전달한다.

Kubernetes에서는 샌드박스 템플릿으로 파드, 컨테이너를 실행하는 배포 단위에 붙이는 라벨과 애노테이션의 키를 운영자가 허용 목록, 사용을 허가한 항목의 목록에 등록해야 한다. 허용되지 않은 키를 지정한 템플릿은 거부된다. 직접 API나 SDK로 템플릿을 지정하는 연동이 점검 대상이며, 명령줄 도구의 메타데이터 라벨은 기존대로 쓸 수 있다.

5. 빠른 반영과 넓어진 기록 활용에 이전 작업이 따른다

이번 변경의 이익은 정책 반영을 기다리는 시간을 줄이고 감사 기록의 활용 경로를 넓히는 데 있다. 그 대가로 운영팀은 새 전달 방식과 로그 전송 기능을 켤지 결정하고, 수집 패턴과 템플릿 허용 목록, 기존 생성 코드를 점검해야 한다. 새 기능의 선택과 기존 연동의 이전을 함께 배포 계획에 담는 것이 핵심이다.

릴리스 노트가 제공하는 버전 지정 설치 예시는 다음과 같다.

curl -LsSf https://raw.githubusercontent.com/NVIDIA/OpenShell/main/install.sh | OPENSHELL_VERSION=v0.1.5 sh

OpenShell v0.1.5의 실질적 가치는 정책 변경과 감사 기록을 운영 흐름에 더 빠르게 연결하는 데 있으며, 이를 활용하려면 기존 수집·연동 설정의 이전도 함께 준비해야 한다.