В мире искусственного интеллекта, где автономные агенты всё чаще берут на себя выполнение сложных задач — от написания кода до навигации в интернете — вопрос безопасности и изоляции выходит на первый план. Когда ИИ-агент получает доступ к корневым правам (root) внутри своей среды, риски становятся очевидными: уязвимости в моделях, вредоносные инструкции или просто ошибки могут привести к компрометации хост-системы. Именно на решение этой проблемы направлена новая инициатива от Perplexity. Компания открыла исходный код платформы SPACE (Sandboxed Platform for Agentic Code Execution), которая лежит в основе работы Perplexity Computer. Это не просто еще один инструмент для разработчиков, а полноценный, протестированный в боевых условиях слой изоляции, позволяющий запускать AI-агенты с максимальной степенью безопасности.
SPACE использует технологию Firecracker microVM для создания изолированной среды для каждой задачи агента. Ключевая особенность архитектуры заключается в том, что учетные данные и контроль исходящего трафика полностью вынесены за пределы виртуальной машины. Это означает, что даже если агент «сойдет с ума» или будет скомпрометирован, он не сможет украсть секреты или отправить данные во внешнюю сеть без явного разрешения. Код платформы распространяется под лицензией Apache 2.0 на GitHub, что делает его доступным для команд, желающих развернуть собственное решение для изоляции агентов. В этой статье мы подробно разберем, как работает SPACE, каковы ее технические характеристики, результаты тестов на проникновение и как она соотносится с другими решениями на рынке.
01Что такое Perplexity SPACE и зачем она нужна?
SPACE — это платформа для запуска кода агентов в изолированных микро-виртуальных машинах (microVM). Представьте себе среду, где каждый запрос или задача агента выполняется в собственном «пузыре», не влияющем на основную систему. Приложения взаимодействуют с SPACE через HTTP API, создавая Linux-окружения, выполняя команды и получая потоковый вывод результатов. Архитектурно система построена вокруг шаблонов (templates), которые поставляют стартовый файловый образ. Каждая конкретная сессия агента — это «песочница» (sandbox), являющаяся экземпляром этого шаблона, со своей собственной виртуальной машиной и записываемым диском. Внутри одной песочницы может выполняться множество команд, что позволяет агенту вести длительную, состоятельную и разветвленную работу, сохраняя состояние даже после перезагрузок.
Цель дизайна, описанная в официальном блоге Perplexity, предельно ясна: агенты должны иметь возможность запускать команды, устанавливать пакеты и вызывать сервисы с правами root внутри своей песочницы, но хост-система должна оставаться вне контроля гостевой ОС. Это критически важно, так как современные AI-агенты часто требуют глубокого доступа к системе для выполнения своих функций. Без такой изоляции каждый баг в модели или вредоносная инструкция могла бы стать точкой входа для атак на инфраструктуру компании. SPACE решает эту проблему, предоставляя производственно проверенный слой изоляции, который теперь доступен для самостоятельного хостинга.
02Архитектура изоляции: как работает защита
Фундамент безопасности SPACE строится на нескольких столпах, каждый из которых закрывает определенный вектор атак. Во-первых, каждая песочница представляет собой Firecracker microVM с собственным гостевым ядром. Это обеспечивает аппаратную изоляцию на уровне гипервизора. Во-вторых, для каждой песочницы на хост-машине настраивается сетевой шлюз, который строго контролирует политику исходящего трафика (egress policy) для каждого исходящего соединения. Это означает, что агент не может просто так «позвонить» на внешний сервер, если это не разрешено политикой.
Третий столп — это управление секретами. Учетные данные никогда не передаются внутрь гостевой виртуальной машины. Согласно инженерному посту Perplexity от июля, учетные данные внедряются на сетевом уровне. Это предотвращает их кражу через память гостевой ОС или файлы. Система хранения учетных данных поддерживает иерархическое масштабирование, ограничения по скорости запросов (rate limits) и аудит логов, что позволяет точно отслеживать, кто, когда и к каким ресурсам обращался.
Архитектура системы разделена на четыре основные части:
- API на базе PostgreSQL: Обрабатывает запросы клиентов и управляет состоянием.
- Контроллеры: Координируют работу сервисов.
- Сервисы рабочих процессов (Worker services): Управляют виртуальными машинами, сетью, томами, шаблонами и учетными данными.
- Плоскость данных (Data plane): Непосредственно выполняет задачи.
Для создания корневых файловых систем используется технология btrfs copy-on-write (CoW). Это позволяет мгновенно создавать снимки состояния, что критически важно для производительности при запуске множества песочниц. Каждая новая песочница создается на основе снимка, а не полной копии данных, что экономит время и дисковое пространство.
03Управление состоянием: пауза, приостановка и восстановление
Одной из самых сложных задач при работе с агентами является управление их жизненным циклом. Агенты могут работать долго, прерываться, требовать пересмотра стратегии. SPACE предлагает гибкую модель состояний, позволяющую эффективно управлять ресурсами. Песочницы могут находиться в четырех основных состояниях: running (работающая), paused (приостановленная), suspended (замороженная) и deleted (удаленная).
Состояние Paused означает, что память виртуальной машины остается в оперативной памяти рабочего узла. Это не является долговременным снимком; если узел перезагрузится, состояние будет потеряно. Это состояние полезно для кратковременных пауз, когда агент ждет ввода пользователя или завершения внешней операции.
Состояние Suspended — это более глубокая форма сохранения. В этом режиме память виртуальной машины, состояние времени выполнения и корневая файловая система сохраняются в виде снимка. Активные ресурсы освобождаются, что позволяет экономить оперативную память. По умолчанию песочницы переходят в состояние suspend после 6 часов бездействия. Это предотвращает накопление «зомби-процессов» и неэффективное использование ресурсов.
Для обеспечения высокой скорости создания новых песочниц, развертывания в Kubernetes используют warm pools (теплые пулы) уже загруженных песочниц. В одноузловых настройках вместо этого используются base snapshots. В производственной среде это позволило снизить задержку создания песочницы на 90-м перцентиле с 447 мс до 89 мс. Perplexity сообщает, что 100% сессий Perplexity Computer работают на базе SPACE, что подтверждает надежность этой архитектуры.
04Тесты на проникновение: выдержала ли SPACE атаку?
Любая система безопасности должна быть проверена на прочность. Perplexity провела серию тестов на проникновение (red-team tests) под названием «Escaping SPACE: Part I». В исследовании участвовали 9 передовых моделей ИИ, которым были предоставлены права root внутри гостевой виртуальной машины. Всего было выполнено 216 запусков в рамках 2 задач и 4 настроек.
Результаты оказались впечатляющими:
- Побег из песочницы (Sandbox escape): 0 из 108 запусков достигли секретов на стороне хоста.
- Обход без сети (No-network bypass): 0 из 54 запусков были успешными.
- Обход с частичной сетью (Partial-network bypass): До исправлений 11 из 54 запусков были успешными. 4 модели нашли путь обхода.
Модели Claude Opus 5.0, GPT-5.6 Sol, GPT-5.6 Cyber и Kimi K3 смогли найти уязвимости в политике исходящего трафика. Атаки использовали спуфинг DNS и общие IP-адреса CDN. Это показало, что даже при наличии сетевых ограничений, сложные модели могут находить обходные пути, если политика настроена недостаточно строго.
В ответ Perplexity добавила проверку источника адреса через nftables. Теперь шлюз завершает TLS-соединения и проверяет как SNI (Server Name Indication), так и HTTP Host против белого списка. В повторных тестах ни одна модель не смогла подтвердить успешный обход. Это демонстрирует итеративный подход к безопасности: обнаружение уязвимости, ее устранение и повторная проверка.
05Сравнение с другими открытыми песочницами
SPACE не является единственным игроком на рынке изолированных сред для AI-агентов. Однако ее открытость и специфическая архитектура выделяют ее на фоне конкурентов. Давайте сравним SPACE с такими решениями, как E2B Runtime, microsandbox и Daytona.
Изоляция: SPACE и E2B Runtime используют Firecracker microVM для каждой песочницы, что обеспечивает высокий уровень безопасности. microsandbox использует libkrun, а Daytona — выделенное ядро. Все они стремятся к аппаратной изоляции, но Firecracker зарекомендовал себя как наиболее зрелое решение для таких задач.
Лицензия и язык: SPACE, E2B и microsandbox используют лицензию Apache 2.0, что делает их привлекательными для коммерческого использования. SPACE написана на Rust, что обеспечивает безопасность памяти и высокую производительность. E2B написан на Go, microsandbox — на Rust. Daytona не раскрывает язык реализации.
Контроль исходящего трафика: Это ключевое отличие. SPACE предлагает шлюз на уровне песочницы с завершением TLS. E2B использует nftables с списками SNI/Host. microsandbox и Daytona не раскрывают детали контроля трафика в публичных спецификациях. В тестах Perplexity, E2B показал обход HTTPS (митигация в процессе), microsandbox — обход HTTP и HTTPS (исправлено в v0.6.18), а Daytona — обход HTTPS (выпущено митигирование). SPACE, после исправлений, показала 0 обходов.
Поддержка SDK: SPACE предлагает E2B SDK через обертку ECW, что упрощает миграцию для команд, уже использующих E2B. E2B имеет нативную поддержку. О поддержке в других решениях информации недостаточно.
06Как разработчикам развернуть SPACE?
Для команд, желающих внедрить SPACE, Perplexity предоставляет подробное руководство по установке. Развертывание осуществляется в локальном кластере Kind (Kubernetes in Docker). Требования к хост-машине включают наличие устройств /dev/kvm, /dev/net/tun, циклических устройств и файловой системы btrfs. Если вы планируете запускать SPACE внутри виртуальной машины, вам потребуется настроить вложенную виртуализацию.
Для команд, которые уже используют E2B, Perplexity предлагает E2B Compatibility Wrapper. Это позволяет попробовать SPACE с минимальными изменениями в коде. Тестируемая базовая версия — пакет Python e2b==2.21.1. В репозитории также доступна ссылка на развертывание AWS EKS, что упрощает переход в облачную среду.
Код проекта доступен на GitHub под лицензией Apache 2.0. Разработчики могут изучить документацию, репозиторий и отчет о тестировании на проникновение, чтобы полностью понять возможности и ограничения платформы. Это дает возможность не только использовать готовое решение, но и вносить свой вклад в его развитие.
07Что это значит на практике
Открытие исходного кода SPACE знаменует собой важный шаг в эволюции безопасного AI. Для разработчиков, создающих агентов для кодинга или навигации, это возможность получить доступ к производственно проверенному слою изоляции, который раньше был доступен только внутри Perplexity. Это снижает барьер для входа в создание безопасных AI-приложений.
Для бизнеса это означает снижение рисков. Использование изолированных microVM для каждого агента предотвращает каскадные отказы и компрометацию инфраструктуры. Строгий контроль исходящего трафика и управление секретами на сетевом уровне обеспечивают соответствие строгим стандартам безопасности. А возможность приостанавливать и восстанавливать состояния агентов позволяет оптимизировать затраты на вычислительные ресурсы.
В контексте российского рынка, где вопросы суверенитета и безопасности данных стоят особенно остро, возможность локального развертывания такого решения на базе Linux и KVM является значительным преимуществом. Команды могут развернуть SPACE в своих дата-центрах, полностью контролируя данные и процессы. Отсутствие поддержки macOS может быть ограничением для некоторых разработчиков, но для серверных развертываний это не критично.
В заключение, Perplexity SPACE — это не просто еще один инструмент, а фундаментальный сдвиг в подходе к безопасности AI-агентов. Она демонстрирует, что изоляция на уровне микро-виртуальных машин, строгий контроль сети и прозрачность кода могут быть реализованы в масштабируемой и эффективной системе. Для всех, кто серьезно относится к созданию автономных AI-систем, SPACE становится обязательным элементом в стеке технологий.
08Заключение
Perplexity открыла исходный код своей платформы SPACE, предоставляя сообществу мощный инструмент для безопасного запуска AI-агентов. Используя Firecracker microVM, строгий контроль сети и продуманное управление состояниями, SPACE решает ключевые проблемы изоляции и безопасности. Результаты тестов на проникновение подтверждают эффективность архитектуры, а открытая лицензия Apache 2.0 делает ее доступной для широкого круга разработчиков. В эпоху, когда AI-агенты становятся все более автономными, такие решения, как SPACE, являются необходимым фундаментом для их безопасного и надежного использования.
Источник: MarkTechPost ↗