快速了解本文
Perplexity 开源基于 Firecracker microVM 的 AI 智能体沙箱 SPACE。
生产环境会话创建延迟中位数从 185 毫秒大幅降至 60 毫秒。
红队测试中 108 次沙箱逃逸尝试全部失败，实现零成功逃逸。
本摘要由 AI 辅助整理，请以正文内容为准。
2026年10月16日，Perplexity 宣布开源 SPACE（Sandboxed Platform for Agentic Code Execution）。这是一个基于 Firecracker microVM 的 AI 智能体沙箱平台，采用 Apache 2.0 协议发布。SPACE 是 Perplexity Computer 背后运行每个任务的底层沙箱，其开源为构建编码或浏览智能体的团队提供了一个经过生产验证的隔离层选项。
01技术架构与生产级性能
SPACE 采用 Rust 编写，当前发布版本为 0.8.0，提供 HTTP API 和服务器发送事件（SSE），支持在带有 KVM、btrfs 和 Docker 的 Linux x86_64 主机上运行。系统架构分为 PostgreSQL 支持的 API、控制器、工作服务和数据平面。
在状态管理方面，沙箱支持运行、暂停、挂起和删除四种状态。默认在无活动 6 小时后挂起，此时会快照 VM 内存、运行时状态和根文件系统并释放活动资源，以确保长时运行任务在重启后能够恢复。在生产环境中，100% 的 Computer 会话运行在 SPACE 上，其中位创建延迟从 185 毫秒降至 60 毫秒，第 90 百分位数的创建延迟从 447 毫秒降至 89 毫秒，展现出支持有状态和分支智能体任务的极低延迟性能。
02安全隔离机制与红队测试
在安全隔离机制上，SPACE 为每个智能体任务分配独立的 Firecracker microVM。其核心设计在于将凭证和出站流量控制在 VM 外部，确保 Secrets 不进入客户机。凭证在网络层注入，并增加了分层作用域、速率限制和审计日志。这种将凭证注入网络层而非客户机的设计，结合 Firecracker 实现了高安全性的代码执行环境。
在红队测试中，9 个前沿模型在客户机内拥有 root 权限，进行了 108 次沙箱逃逸尝试，结果为 0 次成功。针对复杂的网络请求，SPACE 也展现了快速迭代的安全防御能力。在初始测试中，智能体在 54 次部分网络运行中成功绕过了 11 次出站策略，涉及 Claude Opus 5.0、GPT-5.6 Sol、GPT-5.6 Cyber 和 Kimi K3 等模型，攻击手段包括 DNS 欺骗和共享 CDN IP 地址。修复后，系统通过 nftables 进行源地址验证，并由网关终止 TLS 检查 SNI 和 HTTP host，在重测中无模型产生验证绕过。