Perplexity開源SPACE：Firecracker microVM打造代理AI安全沙盒，108次測試零逃逸
2026年10月15日，AI搜尋公司Perplexity正式開源其內部代理沙盒平台SPACE（Sandboxed Platform for Agentic Code Execution）。這一以Rust語言構建、採用Apache 2.0授權的平台，利用Firecracker microVM技術為AI代理提供隔離執行環境，自2026年7月起已為Perplexity Computer的所有代理會話提供支撐，每日管理數百萬個沙盒創建。
為什麼代理沙盒如此重要？
代理AI的安全困境
隨著AI代理從聊天助手演進為能夠執行代碼、訪問文件系統、調用外部API的自主系統，安全隔離成為行業最緊迫的技術挑戰之一。一個設計不當的代理沙盒，可能讓惡意代理：
- 逃逸至宿主系統，訪問敏感數據
- 繞過網絡出口控制，洩露機密信息
- 在多租戶環境中橫向移動，影響其他用戶
2026年的多起安全事件（包括OpenAI披露的19宗流氓代理事件）已將代理安全推至行業議程首位。
SPACE的誕生背景
Perplexity在內部開發SPACE，最初是為了支撐其「Perplexity Computer」產品——一個允許AI代理在用戶設備上執行複雜任務的系統。自2026年7月投入生產以來，SPACE每日處理數百萬個沙盒創建請求，積累了大量生產環境驗證數據。
SPACE的核心架構
Firecracker microVM：每個代理一個內核
SPACE的核心設計原則是完全隔離：每個代理任務在獨立的Firecracker microVM中執行，擁有自己的：
- 獨立內核（kernel）
- 獨立操作系統
- 可寫文件系統
Firecracker是由AWS開發的開源虛擬機監控器（VMM），最初為AWS Lambda和Fargate設計，以毫秒級啟動時間和極低資源開銷著稱。SPACE將其應用於代理沙盒，實現了接近容器的性能與接近虛擬機的安全隔離。
關鍵技術特性
沙盒生命週期管理 SPACE處理沙盒的完整生命週期：創建、暫停、恢復、銷毀。「暖池」（warm pools）機制預先維護一批就緒環境，將沙盒啟動時間壓縮至約60毫秒。
狀態持久化 平台通過頻繁的文件快照與檢查點，允許代理在中斷後保留進度，並支援會話分支（session branching）——代理可以從某一狀態點「分叉」出多個執行路徑。
控制平面安全 中央控制平面在沙盒外部管理網絡訪問與平台憑證。即使代理在microVM內獲得root權限，仍受外部出口控制與策略層的約束。這一設計確保了「縱深防禦」：即使沙盒被突破，攻擊者仍面臨額外的安全層。
E2B兼容包裝器（ECW） SPACE提供E2B兼容包裝器，允許開發者在SPACE環境中直接使用為E2B Python SDK編寫的現有代碼，大幅降低遷移成本。
安全測試：108次嘗試，零逃逸
Perplexity安全智能研究所的對抗性測試
Perplexity的「Secure Intelligence Institute」對SPACE進行了嚴格的對抗性測試，模擬常見的代理安全威脅：
虛擬機逃逸測試
- 測試次數：108次
- 成功逃逸：0次
- 結論：在所有測試中，沒有任何代理成功從microVM逃逸至宿主系統
網絡出口繞過測試 初始測試發現了漏洞：4個模型在54次運行中的11次成功繞過網絡規則，具體手段包括DNS欺騙與共享CDN地址利用。Perplexity隨即實施網關修復，修復後的重測中未發現任何繞過成功。
行業安全評估的副產品
Perplexity的測試還揭示了一個重要發現：多個第三方沙盒（包括E2B、Vercel、Modal等）在2026年8月至9月的測試中，均存在類似的共享地址繞過漏洞。這一發現促使整個行業重新審視代理沙盒的安全標準。
部署與生態系統
開源與雲端整合
SPACE以Apache 2.0授權在GitHub開源，提供：
- 完整的模型權重與訓練配方
- Kubernetes部署配置（支援AWS EKS與本地Kind環境）
- 詳細的API文檔
雲端整合夥伴 CoreWeave、Akamai、Crusoe三家雲端基礎設施提供商已宣布計劃將SPACE整合至其雲端服務，為客戶提供生產就緒的代理沙盒能力。
與競爭方案的比較
| 方案 | 部署模式 | 隔離級別 | 開源授權 |
|---|---|---|---|
| SPACE（Perplexity） | 本地/雲端 | microVM | Apache 2.0 |
| E2B | 雲端API | 容器 | 部分開源 |
| Vercel Sandbox | 雲端API | 容器 | 閉源 |
| Modal | 雲端API | 容器 | 閉源 |
SPACE的核心差異化在於：完全開源（包括訓練管道）、microVM級別的隔離、以及在私有或氣隙（air-gapped）基礎設施上運行的能力。
對亞太地區AI開發者的意義
數據主權與本地部署
亞太地區的AI開發者面臨嚴格的數據主權要求——新加坡的PDPA、日本的個人信息保護法、中國的數據安全法均對數據跨境傳輸有嚴格限制。SPACE的本地部署能力，使開發者能夠在完全符合本地法規的前提下，構建生產級代理AI系統。
降低代理AI的安全門檻
對於資源有限的亞太地區AI初創企業，SPACE提供了一個生產驗證的安全基礎設施起點，無需從零構建代理沙盒。這一開源貢獻有望加速整個地區的代理AI生態系統發展。
結語
Perplexity開源SPACE，是2026年代理AI安全基礎設施領域的重要里程碑。108次測試零逃逸的成績，以及對行業第三方沙盒漏洞的系統性披露，確立了SPACE作為代理安全標準參考實現的地位。隨著CoreWeave、Akamai、Crusoe等雲端提供商的整合，SPACE有望成為下一代代理AI部署的安全基礎層。
