Perplexity 开源 SPACE：面向 AI Agent 的 Firecracker microVM 沙箱平台
Perplexity 以 Apache 2.0 协议在 GitHub 开源 SPACE（Sandboxed Platform for Agentic Code Execution），即 Perplexity Computer 每个 Agent 任务背后的沙箱平台，每个任务运行在独立 Firecracker microVM 中，凭证和出站流量控制在虚拟机之外。
MarkTechPost· Asif Razzaq·2026-10-17 08:09· 2 小时前AI 评分73
Perplexity 开源 SPACE：面向 AI Agent 的 Firecracker MicroVM 沙箱
AI 导读
Perplexity 开源 SPACE（Sandboxed Platform for Agentic Code Execution），即 Perplexity Computer 每个 Agent 任务背后的沙箱平台，每个任务运行在独立 Firecracker microVM 中，凭证和出站流量控制在虚拟机之外，代码以 Apache 2.0 协议发布在 GitHub。
正文
Perplexity 已开源 SPACE，这是 Perplexity Computer 中每个任务背后的沙箱平台。Perplexity SPACE 沙箱为每个 Agent 任务提供独立的 Firecracker microVM。凭证和出站流量在该 VM 之外进行控制。代码以 Apache 2.0 协议发布在 GitHub 上。对于构建编码或浏览 Agent 的团队来说，这是一个经过生产验证、可自行托管的隔离层。
TL;DR
- 规模：Rust 代码库，版本 0.8.0，即公开基线。提供 HTTP API 和服务器发送事件。
- 运行环境：一台带 KVM 的 Linux x86_64 主机、
/dev/kvm、btrfs 和 Docker。支持本地 Kind（Kubernetes）或直接模式。不支持 macOS。 - 性能：在生产环境中，与 Perplexity 之前的供应商相比，创建延迟中位数从 185 毫秒降至 60 毫秒。
- 最佳表现：在 9 个前沿模型中，108 次 VM 到主机的逃逸尝试中 0 次成功。
- 最差表现：在修复之前，Agent 在 54 次部分网络运行中有 11 次绕过了出站策略。
什么是 Perplexity SPACE？
SPACE（Sandboxed Platform for Agentic Code Execution）是 Perplexity 用于在隔离 microVM 中运行 Agent 代码的平台。应用程序调用其 HTTP API 来创建 Linux 环境、运行命令并流式输出结果。
模板提供起始文件系统。沙箱是该模板的一个实例，拥有自己的 VM 和可写磁盘。一个沙箱内可以运行多条命令。
Perplexity 的发布帖解释了设计目标。Agent 在沙箱内以 root 身份运行命令、安装软件包并调用服务。主机始终不受客户机控制。Agent 工作具有长时间运行、有状态和分支的特点，因此必须能在重启后存活。
SPACE 如何隔离 Agent？
每个沙箱都是一个拥有自己客户机内核的 Firecracker microVM。主机上每个沙箱对应的网络网关会对每个出站连接强制执行出站策略。
密钥永远不会进入客户机。根据 Perplexity 的七月工程博客，凭证在网络层注入。凭证存储增加了分层作用域、速率限制和审计日志。
架构指南将系统分为 4 个部分。分别是基于 PostgreSQL 的 API、控制器、工作服务和数据平面。工作服务管理 VM、网络、卷、模板和凭证。btrfs 写时复制为每个根文件系统创建副本。
暂停、挂起和恢复如何工作？
沙箱会经历 4 种状态：运行中、已暂停、已挂起和已删除。
- 已暂停：VM 内存保留在工作节点上。这不是持久快照。
- 已挂起：VM 内存、运行时状态和根文件系统会被快照。活动资源被释放。
- 空闲默认值：沙箱在无活动 6 小时后挂起。
为了实现快速创建，Kubernetes 部署使用已启动沙箱的预热池。单节点环境则改用基础快照。
在生产环境中，创建延迟的第 90 百分位从 447 ms 降至 89 ms。Perplexity 报告称，100% 的 Computer 会话都运行在 SPACE 上。
SPACE 是否通过了红队测试？
Perplexity 的《Escaping SPACE：第一部分》报告在客户机内以 root 权限测试了 9 个模型。该研究在 2 个任务和 4 种设置下共运行了 216 次。
- 沙箱逃逸：108 次运行中有 0 次触及宿主机侧密钥。
- 无网络绕过：54 次运行中有 0 次成功。
- 部分网络绕过：修复前 54 次运行中有 11 次成功。4 个模型找到了路径。
Claude Opus 5.0、GPT-5.6 Sol、GPT-5.6 Cyber 和 Kimi K3 找到了绕过方法。这些攻击使用了 DNS 欺骗和共享 CDN IP 地址。
随后，Perplexity 通过 nftables 增加了源地址校验。网关现在会终止 TLS，并同时校验 SNI 和 HTTP host 是否在允许列表中。在复测中，没有任何模型产生经过验证的绕过。
同一团队测试了 10 个第三方平台。其中 8 个至少出现了一次网络策略绕过。Perplexity 已向每个受影响的厂商披露了结果。
SPACE 与其他开源沙箱相比如何？
| 功能 | Perplexity SPACE | E2B Runtime | microsandbox | Daytona |
|---|---|---|---|---|
| 隔离 | 每个沙箱一个 Firecracker microVM | 每个沙箱一个 Firecracker microVM | libkrun microVM | 每个沙箱专用内核 |
| 许可证 | Apache 2.0 | Apache 2.0 | Apache 2.0 | 公开仓库，自 2026 年 6 月起未维护 |
| 语言 | Rust | Go | Rust | 未披露 |
| 宿主机要求 | Linux x86_64 + KVM | 未披露 | 带 KVM 的 Linux | 未披露 |
| 出口控制 | 每沙箱网关，TLS 终止 | nftables 防火墙，SNI/Host 列表 | 未披露 | 未披露 |
| Perplexity 出口测试 | 修复后 0 次绕过 | HTTPS 绕过，计划缓解 | HTTP + HTTPS 绕过，v0.6.18 中修复 | HTTPS 绕过，已发布缓解措施 |
| E2B SDK 支持 | 是，通过 ECW 封装 | 原生 | 未披露 | 未披露 |
开发者如何部署 SPACE？
安装指南将 SPACE 部署到本地 Kind 集群。宿主机需要 /dev/kvm、/dev/net/tun、loop 设备和 btrfs。在 VM 内运行它需要嵌套虚拟化。
已经使用 E2B 的团队可以试用 E2B 兼容封装。其测试基线是 Python 包 e2b==2.21.1。仓库中提供了参考 AWS EKS 部署。
关键要点
- SPACE 将每个 agent 任务运行在各自的 Firecracker microVM 中。
- 凭据和出口策略位于客户机 VM 之外。
- 在红队测试中，108 次逃逸尝试中有 0 次触及宿主机。
- 修复前出口绕过在 54 次运行中命中 11 次，修复后为 0 次。
- Apache 2.0，Rust，需要带 KVM 的 Linux x86_64 宿主机。
查看 GitHub 仓库、文档 和 红队报告。所有功劳归于本项目的研究者。另外，欢迎在 Twitter 上关注我们，别忘了加入我们的 150k+ 机器学习 SubReddit 并订阅我们的新闻通讯。等等！你在 Telegram 上吗？现在你也可以在 Telegram 上加入我们了。
文章 Perplexity 开源 SPACE：面向 AI 智能体的 Firecracker MicroVM 沙箱 首次发布于 MarkTechPost。
来源：MarkTechPost · marktechpost.com
来源：RadarAI · aihot.news