Perplexity cuenta con SPACE de código abierto, la plataforma sandbox detrás de cada tarea de Perplexity Computer. El entorno limitado de Perplexity SPACE proporciona a cada tarea de agente su propia microVM Firecracker. Las credenciales y el tráfico saliente se controlan desde fuera de esa máquina virtual. El código se envía en Apache 2.0 en GitHub. Para los equipos que crean agentes de programación o navegación, se trata de una capa de aislamiento probada en producción que pueden alojar ellos mismos
.TL; DR
- Tamaño: base de código de Rust, versión 0.8.0, la línea base pública. API HTTP más eventos enviados por el servidor.
- Se ejecuta en:
un host Linux x86_64 con KVM, /dev/kvm, btrfs y Docker.Tipo local (Kubernetes) o modo directo. Sin macOS. - Rendimiento: en producción, la latencia media de creación se redujo de 185 ms a 60 ms en comparación con el proveedor anterior de Perplexity.
- Lo mejor: 0 de los 108 intentos de escape de la máquina virtual al host tuvieron éxito en 9 modelos avanzados.
- Lo peor: antes de las correcciones, los agentes pasaban por alto la política de salida en 11 de las 54 ejecuciones parciales de red.
¿Qué es Perplexity SPACE?
SPACE (plataforma aislada para la ejecución de código por agencia) es la plataforma de Perplexity para ejecutar código de agente en micromáquinas virtuales aisladas. Las aplicaciones utilizan su API HTTP para crear entornos Linux
, ejecutar comandos y transmitir la salida.Una plantilla proporciona el sistema de archivos inicial. Un sandbox es una instancia de esa plantilla, con su propia máquina virtual y disco grabable. Se pueden ejecutar muchos comandos dentro de un entorno limitado
. Elhilo de lanzamiento de Perplexity explica el objetivo del diseño. Los agentes ejecutan comandos, instalan paquetes y llaman a los servicios con el usuario root dentro del entorno limitado. El anfitrión permanece fuera del control del huésped. El trabajo de los agentes es prolongado, dinámico y ramificado, por lo que debe
sobrevivir a los reinicios.¿Cómo aísla SPACE a los agentes?
Cada sandbox es una microVM de Firecracker con su propio kernel invitado. Una puerta de enlace de red por espacio aislado en el host impone la política de salida en cada conexión saliente
.Los secretos nunca llegan al huésped. Según el artículo de ingeniería publicado en julio por Perplexity, las credenciales se inyectan en la capa de red. El almacén de credenciales añade un alcance jerárquico, límites de velocidad y registros
de auditoría.La guía de arquitectura divide el sistema en 4 partes. Se trata de una API respaldada por PostgreSQL, controladores, servicios de trabajo y un plano de datos. Los servicios de trabajo administran las máquinas virtuales, las redes, los volúmenes, las plantillas y las credenciales. btrfs
copy-on-write crea cada sistema de archivos raíz.¿Cómo pausar, suspender y restaurar el trabajo?
Los sandboxes se mueven en 4 estados: en ejecución, en pausa, suspendidos y eliminados.
-
En
- pausa: la memoria de la máquina virtual permanece en el trabajador. No se trata de una instantánea duradera .
- Suspendida: se toman instantáneas de la memoria de la máquina virtual, el estado de ejecución y el sistema de archivos raíz. Se liberan los recursos activos .
- Inactivo de forma predeterminada: los entornos limitados se suspenden después de 6 horas sin actividad.
Para crear con rapidez, las implementaciones de Kubernetes utilizan grupos activos de entornos limitados arrancados.
En su lugar, las configuraciones de un solo nodo utilizan instantáneas básicas.En producción, la latencia de creación del percentil 90 se redujo de 447 ms a 89 ms. Perplexity informa que el 100% de las sesiones informáticas se ejecutan en SPACE
.¿Sobrevivió SPACE a una prueba con el equipo rojo?
Elinforme Escaping SPACE: Part I de Perplexity probó 9 modelos con la raíz dentro del huésped. En el estudio se realizaron 216 ejecuciones en 2 tareas y 4 entornos
.- Sandbox Escape: 0 de las 108 carreras alcanzaron el secreto del lado del anfitrión.
- Omisión sin red: 0 de 54 ejecuciones se realizaron correctamente.
- Omisión parcial de red: 11 de las 54 ejecuciones se realizaron correctamente antes de que se corrigieran. Cuatro modelos encontraron una ruta.
Claude Opus 5.0, GPT-5.6 Sol, GPT-5.6 Cyber y Kimi K3 encontraron derivaciones. Los ataques utilizaron la suplantación de DNS
y compartieron direcciones IP de CDN.Luego, Perplexity añadió la validación de las direcciones de origen a través de nftables. La puerta de enlace ahora finaliza el TLS y compara el host SNI y el HTTP con la lista de permitidos. En la nueva prueba, ningún modelo
produjo una derivación verificada.El mismo equipo probó 10 plataformas de terceros. 8 mostraron al menos una omisión de la política de red. Perplexity comunicó los resultados a
todos los proveedores afectados.¿Cómo se compara SPACE con otros entornos de prueba abiertos?
| Cuenta con | Perplexity SPACE | E2B Runtime | microsandbox | Daytona | Isolation | Firecracker microVM por sandbox
|---|---|---|---|---|---|
| Firecracker | microVM por sandbox | libkrun MicroVM | | licencia de kernel dedicado por entorno aislado Apache 2.0 Apache 2.0 Apache 2.0 Apache 2.0 Repositorio público, sin mantenimiento desde junio de 2026 | | |
| Idioma | Rust | Go | Rust | No revelado | El |
| host necesita | Linux x86_64 + KVM No revelado | Linux con KVM | No revelado | Control||
| TLS | terminación, | nftables, firewall, SNI/listas de hosts No se han | revelado No se han revelado | ,la prueba de salida de Perplexity | 0 | desvíos después de corregir el desvío de HTTPS, la mitigaciónestá planificada para el desvío de HTTP + | HTTPS, se corrige en la v0.6.18
Omisión HTTPS, lanzamiento de mitigación, compatibilidad con el SDK | E2B | |
¿Cómo implementan SPACE los desarrolladores?
La guía de instalación implementa SPACE en un clúster Kind local. El host necesita /dev/kvm, /dev/net/tun, dispositivos de bucle y btrfs. Su ejecución dentro de una máquina virtual requiere una virtualización anidada
Los equipos que ya utilizan E2B pueden probar el contenedor de compatibilidad E2B. Su base probada es el paquete de Python e2b==2.21.1. En el repositorio se incluye una implementación de AWS EKS de referencia
Conclusiones clave
- SPACE ejecuta cada tarea del agente en su propia microVM Firecracker.
- Las credenciales y la política de salida se encuentran fuera de la máquina virtual invitada.
- En las pruebas realizadas en equipo rojo, 0 de los 108 intentos de escape llegaron al anfitrión.
- Los desvíos de salida se realizaron 11 de 54 veces antes de que se corrigieran y 0 después.
- Apache 2.0, Rust, necesita un host Linux x86_64 con KVM.
Consulta el repositorio de GitHub, la documentación y el informe del equipo rojo. Todo el mérito es para el investigador de este proyecto. Además, siéntete libre de seguirnos en Twitter y no olvides unirte a nuestro subReddit de más de 150 000 ml y suscribirte a nuestro boletín. ¡Espera! ¿Estás en Telegram? ahora también puedes unirte a nosotros en Telegram.
The post Perplexity Open-Sources SPACE, a Firecracker MicroVM Sandbox for AI Agents appeared first on MarkTechPost.
</button></div>
</div>
<div class="pane" data-p="2">
<div class="bars" id="psx-rt"></div>
<div class="note">9 models, 216 runs, root inside the guest. Fixes: nftables source-address validation, TLS termination with SNI + Host allowlist checks. Source: Perplexity, Escaping SPACE: Part I (Sep 23, 2026).</div>
</div>
<div class="pane" data-p="3">
<div class="bars" id="psx-lat"></div>
<div class="note">Production launch-week traffic, SPACE vs Perplexity's previous sandbox provider. Lower is better. Source: Perplexity engineering blog (Jul 15, 2026).</div>
</div>
<div class="pane" data-p="4">
<div class="tw"><table>
<tr><th>Feature</th><th>SPACE</th><th>E2B Runtime</th><th>microsandbox</th></tr>
<tr><td>Isolation</td><td>Firecracker microVM</td><td>Firecracker microVM</td><td>libkrun microVM</td></tr>
<tr><td>License</td><td>Apache 2.0</td><td>Apache 2.0</td><td>Apache 2.0</td></tr>
<tr><td>Language</td><td>Rust</td><td>Go</td><td>Rust</td></tr>
<tr><td>Perplexity egress test</td><td>0 bypasses after fix</td><td>HTTPS bypass, mitigation planned</td><td>HTTP + HTTPS bypass, fix in v0.6.18</td></tr>
</table></div>
<div class="note">Egress results from Perplexity's tests on Aug 31 to Sep 1, 2026, for the versions tested.</div>
</div>
<div class="ft"><span>Sources: github.com/perplexityai/SPACE · perplexity.ai/hub/blog</span><b>© Marktechpost</b></div>
</div>
<script>
(function(){
var R=document.getElementById('pplx-space-x');
function post(){try{parent.postMessage({psxHeight:R.offsetHeight+40},'*')}catch(e){}}
var tabs=R.querySelectorAll('.tab'),panes=R.querySelectorAll('.pane');
var D=['<b>Guest microVM.</b> Each task gets its own Firecracker microVM with its own guest kernel. The agent can run commands and install packages as root. The host stays outside its control.',
'<b>Per-sandbox gateway.</b> All guest egress passes through a host-side gateway. It now terminates TLS and requires both SNI and HTTP Host to be allowlisted and DNS-attributed.',
'<b>Outside services.</b> Credentials never enter the guest. They are injected at the network layer, with scoping, rate limits and audit logging.'];
var det=document.getElementById('psx-detail'),boxes=R.querySelectorAll('.box');
function showD(i){boxes.forEach(function(b,j){b.classList.toggle('act',i==j)});det.innerHTML=D[i];post()}
boxes.forEach(function(b){b.addEventListener('click',function(){showD(+b.dataset.d)});b.addEventListener('mouseenter',function(){showD(+b.dataset.d)})});
showD(0);
var L=['<b>Running.</b> Processes execute. Live VM memory and the writable filesystem are kept.',
'<b>Paused.</b> Execution stops. VM memory stays resident on the worker. This is not a durable snapshot.',
'<b>Suspended.</b> VM memory, runtime state and root filesystem are snapshotted. Active VM resources are released. Default: suspend after 6 hours idle.',
'<b>Deleted.</b> The sandbox is no longer available through the API.'];
var li=0,sts=R.querySelectorAll('.st'),ld=document.getElementById('psx-life');
function life(){sts.forEach(function(s,j){s.classList.toggle('on',j==li)});ld.innerHTML=L[li];post()}
document.getElementById('psx-next').onclick=function(){li=(li+1)%4;life()};
document.getElementById('psx-prev').onclick=function(){li=(li+3)%4;life()};
sts.forEach(function(s,j){s.style.cursor='pointer';s.onclick=function(){li=j;life()}});
life();
function bars(el,data){el.innerHTML=data.map(function(d){return '<div class="row"><div class="lbl"><span>'+d[0]+'</span><em>'+d[1]+'</em></div><div class="track"><div class="fill" data-w="'+d[2]+'" style="background:'+d[3]+'"></div></div></div>'}).join('')}
bars(document.getElementById('psx-rt'),[
['VM-to-host escape','0 of 108 runs',1.5,'#76B900'],
['Network bypass, no network','0 of 54 runs',1.5,'#76B900'],
['Network bypass, partial network (before fix)','11 of 54 runs',20.4,'#E5675A'],
['Network bypass, after fix','0 verified bypasses',1.5,'#76B900'],
['Third-party platforms with a bypass','8 of 10',80,'#1FB8CD']]);
bars(document.getElementById('psx-lat'),[
['Median create, previous provider','185 ms',41.4,'#5E5B66'],
['Median create, SPACE','60 ms',13.4,'#20808D'],
['p90 create, previous provider','447 ms',100,'#5E5B66'],
['p90 create, SPACE','89 ms',19.9,'#20808D']]);
function anim(p){p.querySelectorAll('.fill').forEach(function(f){f.style.width='0';setTimeout(function(){f.style.width=f.dataset.w+'%'},60)})}
tabs.forEach(function(t){t.onclick=function(){var i=+t.dataset.t;tabs.forEach(function(x,j){x.classList.toggle('on',j==i)});panes.forEach(function(p,j){p.classList.toggle('on',j==i)});anim(panes[i]);post()}});
window.addEventListener('load',post);window.addEventListener('resize',post);setTimeout(post,300);
})();
</script>
</body>
</html>
">