Perplexity SPACE: nyílt forrású sandbox AI-agenteknek

Mi a SPACE?

A név a Sandboxed Platform for Agentic Code Execution rövidítése. A projekt leírása szerint izolált Firecracker microVM-ekben futtat agentek vagy felhasználók által írt kódot. Az alkalmazások HTTP API-n keresztül hoznak létre Linux-környezeteket, futtatnak parancsokat, gyűjtik a kimenetet, illetve kezelik a sandboxok életciklusát (GitHub).

A kiindulási környezetet egy template adja, ebből készül a sandbox, saját VM-mel és írható fájlrendszerrel. A SPACE Rustban készült, de nem kell Rust-könyvtárat beépíteni: az API HTTP-n és server-sent events-en keresztül érhető el. Helyi kipróbáláshoz a dokumentáció Kind-alapú Kubernetes-telepítést ír le, de az architektúra Kubernetes nélkül is működik (SPACE Guide).

Forrás: Perplexity. A SPACE nyílt forrásúvá tételéről szóló blogbejegyzés.

Hogyan véd?

A Perplexity szerint a SPACE a sandboxot eleve megbízhatatlannak tekinti. Minden sandbox kis virtuális gépben fut, saját operációs rendszerrel, ez választja el az agent munkáját a hoszttól. A hálózati hozzáférést és a platform által tárolt hitelesítő adatokat a sandboxon kívül kezeli. Az agent így úgy éri el az engedélyezett szolgáltatásokat, hogy a kulcsok nincsenek a munkakörnyezetében (Perplexity).

A rendszer gyakran ment fájl-snapshotot és teljes futási checkpointot, de csak a változásokat tárolja. Ezzel gyors a szüneteltetés, a folytatás, a helyreállítás, illetve egy munkamenet elágaztatása. Ez utóbbi például arra jó, hogy egy agent két külön másolatban próbáljon ki két megoldást.

Mennyire bírja a támadást?

A Perplexity közzétett biztonsági értékelésében 108 kísérletből egyszer sem sikerült a virtuális gépből a hosztra kitörni. Néhány kísérlet viszont megkerülte a hálózati korlátozásokat. A cég szerint ezeket a hibákat javították, a követő tesztekben a két azonosított támadási módszer már nem működött. A más sandbox platformokban talált gyengeségeket jelezték a gyártóknak.

A Semafor beszámolója szerint a Perplexity kilenc frontier modellt utasított arra, hogy próbáljanak kitörni. A partnerek közül a CoreWeave, az Akamai és a Crusoe kínálja majd a SPACE-t az ügyfeleinek (Semafor). A blog szerint az Akamai már elindította a saját felhőjén, a CoreWeave pedig telepítési útmutatót adott ki a CKS-hez.

Miért most?

A SPACE júliusban váltotta le a Perplexity korábbi, külső sandbox szolgáltatóját. Azóta ez fut minden Computer munkamenet alatt, naponta több millió sandbox létrehozásával. A cég szerint ugyanazon a forgalmon háromszor-ötször gyorsabban hoz létre sandboxot, mint az előző szolgáltató. Az időzítés sem véletlen. A Semafor szerint a sandboxok azért kerültek előtérbe, mert több AI-labor is beszámolt arról, hogy modelljeik kijutottak a korlátaik közül, majd valódi rendszereket támadtak meg. Az ilyen incidensekről szóló amerikai vizsgálatról az FTC-ről szóló cikkünkben írtunk.

A Perplexity nem egyedül lép: a Semafor szerint az NVIDIA OpenShell is nyílt forrású eszköz, amely sandboxban futtat agenteket, illetve korlátozza, mit érhetnek el.

Kinek hasznos?

Azoknak a csapatoknak, amelyek saját agent platformot építenek, de nem akarnak zárt sandbox szolgáltatóra támaszkodni. A licenc engedékeny, a design pedig kész választ ad a kulcskezelésre és a kimenő forgalom szűrésére. Éles használat előtt viszont érdemes a saját fenyegetési modell szerint is tesztelni, mert a közölt biztonsági eredmények a Perplexity saját mérései.