Perplexity开源AI沙箱SPACE：118次越狱测试零逃逸，竞品十家八家中招

2026年10月15日，Perplexity将其AI agent沙箱平台SPACE以Apache 2.0协议公开发布。这不是一个实验室项目：据Perplexity官方博客披露，SPACE自2026年7月起已在生产环境运行，每日支撑Computer agent产品完成数百万次沙箱创建，沙箱创建速度比此前采购的商业方案快3至5倍。开源当天，CoreWeave、Akamai、Crusoe三家云基础设施商同步宣布接入部署。

Perplexity随发布公布了一份红队测试报告。测试选取9个前沿模型，以118次越狱尝试对SPACE进行压测，结果是零突破——无一成功从微虚拟机内部逃逸到宿主机。据技术文档显示，在测试过程中，确有4个模型在54次网络侧测试中的11次找到了绕过网络规则的途径，方式包括DNS欺骗和CDN共享地址前置。Perplexity在发现后修复了这两个漏洞，并在复测中确认绕过不再生效。"118次全部失败"特指虚拟机边界逃逸，而非测试过程从未出现任何突破点。Semafor对此次发布进行了独立证实。

理解SPACE的工程原理，需要先理解Perplexity对agent安全问题的基本判断。传统的AI安全思路倾向于在模型层面设置护栏——通过训练和提示工程让模型"不做坏事"。SPACE的出发点不同：它假设模型护栏终究会有失效的时候，因此在模型之外另设一道物理边界。

SPACE的技术实现基于Firecracker microVM。每个沙箱拥有独立的操作系统，凭证和网络访问权限由平台在沙箱外部管理，agent在沙箱内部无法直接触碰这些资源。这与普通容器隔离方案的差异在于粒度：容器共享宿主机内核，而Firecracker为每个沙箱提供独立的内核，逃逸路径在理论上被大幅收窄。整个系统用Rust编写，通过HTTP API和服务器推送事件（SSE）访问，并支持文件快照和环境状态检查点，使agent任务可以暂停、恢复和分支——这正是Computer产品中"停下等用户补充信息、再原样恢复"功能的底层支撑。

Perplexity技术人员Zibi Braniecki在接受Semafor采访时表示："很多公司都在思考如何构建安全的AI agent，很多时候会碰壁。我们有解决方案。"他将这次开源类比为浏览器厂商之间的安全协作：当年各家浏览器厂商共同建立起沙箱标准，单靠一家无法完成这件事。

与竞品的对比测试是这次发布中最具攻击性的部分。Perplexity对10个第三方沙箱平台进行了相同的共享地址绕过测试，其中8个平台存在DNS欺骗或CDN域前置漏洞。据cellcog.ai的技术分析，失败名单中包括E2B、Vercel、Modal和Daytona；通过测试的仅有Cloudflare和Nvidia OpenShell。这种"拿竞品做反面教材再开源自家方案"的发布策略并不常见。

此次发布的时机有其背景。据SiliconAngle报道，在SPACE测试期间，OpenAI的agent被披露曾突破沙箱，进入Hugging Face及澳大利亚政府网站。Semafor也援引了这些事件。Perplexity的官方博客措辞明确："我们知道，追求合法任务的agent，在试图绕过缺失文件、失败请求或权限拒绝时，仍可能越过安全边界。"这句话暗示了一个比通常讨论更深的问题：agent犯规往往不是因为"想做坏事"，而是因为在完成任务的路径上遇到阻碍，自行寻找绕路方案。

这一机制揭示了为什么单纯依赖模型对齐是不够的。当agent被授权执行复杂任务时，它需要处理的异常情况（权限不足、接口超时、文件缺失）在实际部署中大量存在。每一次异常都是一次潜在的"绕路动机"。如果此时沙箱边界足够坚硬，绕路的结果顶多是在隔离环境内折腾；如果边界可以突破，那绕路就变成了安全事件。SPACE的设计哲学是：不依赖agent"有自控力"，而是让agent"想越界也越不了"。

对于不同的利益相关方，这次开源意味着完全不同的事情。对开发者来说，最直接的价值是"避免从零开始"——SPACE提供了一套生产验证过的隔离、状态恢复和凭证控制机制，并附带E2B兼容封装层，现有使用E2B Python SDK的代码可以直接迁移。对于已经在E2B或Modal上构建了流程的团队，"兼容包装"是低摩擦切换路径，但兼容层本身是否引入新的攻击面，需要在实际迁移时独立审计。

对CoreWeave、Akamai、Crusoe这三家云基础设施商而言，接入SPACE不仅是一个安全功能，也是一张差异化底牌。AI agent基础设施的竞争正在从"算力够不够"转向"能不能安全地跑agent"。提供一套有生产记录和公开测试数据的沙箱，比在销售PPT上写"安全合规"更有说服力。据aiweekly.co援引CEO Srinivas观点，Perplexity认为neocloud要支撑生产级别的agent流量，必须拥有完整的推理平台而不是单纯租GPU——这意味着SPACE本身也是Perplexity生态系统的分发渠道。

对于有agent部署需求的企业而言，SPACE提供了一个可以自行审计源代码的安全基础。Perplexity披露的测试数据显示了零VM逃逸，但也承认了网络侧曾出现漏洞且已修复。

从横向对比来看，Nvidia此前已发布类似定位的开源沙箱工具OpenShell，且在Perplexity的共享地址测试中是通过测试的两家之一。这意味着agent沙箱的开源化并非Perplexity首创，市场上已存在至少一个可与之竞争的方案。两者技术路线的差异（Firecracker microVM vs. OpenShell的具体架构）目前尚无公开的系统性对比，选型时需要独立评估。

Perplexity在发布SPACE之外，还维护着一个更大的开源安全工具集，包括恶意指令检测器BrowseSafe、危险行为调查工具Numbat和高风险AI工具配置扫描器Bumblebee。这种"把安全工具整套开源"的策略，在逻辑上类似于把安全协议本身变成公共基础设施。