Perplexity SPACE：オープンソースAIエージェント・サンドボックスと要件

コードを書くエージェントには、そのコードを実行する場所も必要です。生成されたコードに開発者のマシンや本番サーバーへの直接アクセスを与えると、モデルのミスがシステム障害につながるおそれがあります。サンドボックスは、周辺アプリケーションが管理できる境界を備えた、分離された実行環境を提供します。

Perplexityは、その実装を公開しようとしています。Semaforは10月15日、同社がSPACEをリリースし、インフラストラクチャ・パートナーと連携して顧客に提供すると報じました。現在、公開リポジトリにより、開発者は単なる製品上の主張を評価するだけでなく、具体的な実装を検証できます。

何がリリースされるのか？

SPACEは、Sandboxed Platform for Agentic Code Executionの略です。その公式リポジトリでは、分離されたLinux環境の作成、コマンドの実行、出力の収集、およびライフサイクル管理を行うHTTP APIが説明されています。リポジトリにはApache 2.0ライセンスが記載されています。

実行の単位はFirecracker microVMです。テンプレートが初期ファイルシステムとランタイム設定を提供し、各サンドボックスには固有の書き込み可能な環境があります。タスクで継続性が必要な場合、アプリケーションは同じサンドボックス内で複数のコマンドを実行できます。

これはコード実行のためのインフラストラクチャです。どのタスクを実行するか、どの入力を与えるか、どの出力を保持するかは、依然としてアプリケーションが決定します。また、オープンソースで利用可能であっても、コンピューティングが無料になるわけではありません。ホスト、ストレージ、関連サービスは誰かが運用する必要があります。

セキュリティテストの主張とその限界

PerplexityはSemaforに対し、9つの最先端モデルに脱出を試みさせ、118回の試行において成功した脱出は観測されなかったと述べました。同報道では、顧客向けにSPACEを提供することに合意したパートナーとして、CoreWeave、Akamai、Crusoeの名前も挙げられています。

これらの記述は、同社および報道に帰属する情報として扱うべきです。脱出が観測されなかった有限回のテストは、そのテストに関する有用な証拠ではありますが、分離境界が将来のすべてのエクスプロイトやデプロイメント上のエラーに耐えられることを立証するものではありません。同様に、パートナーの参加が、プロバイダー間で同一の提供状況や価格を保証するものでもありません。

エンジニアリング上の問いは、そのシステムがアプリケーションの脅威モデルの下でどのように動作するかです。基盤となるVM境界とあわせて、エージェントが到達できるリソース、環境に渡される認証情報、必要なホスト権限を確認してください。

サンドボックスタスクの実行方法

最初のサンドボックスのウォークスルーでは、環境作成、コマンド実行、クリーンアップを分けて説明しています。

1. 公開済みテンプレートからサンドボックスを作成し、その識別子を保持します。
2. ライフサイクル操作が成功し、環境が準備完了になるまで待機します。
3. コマンドセッションを作成し、イベントストリームに接続して実行を開始します。
4. 出力を読み取り、プロセスの終了結果を確認します。
5. サンドボックスを調べ、保持するか削除するかを選択します。

この順序は、リクエストを受け付けることと、そのリクエストを完了することは異なるため重要です。作成レスポンスが成功しても、それだけでゲストがコマンドを受け付けられる状態にある証明にはなりません。同様に、何らかの出力を受け取っただけでは、プロセスが正常終了したとは確認できません。

公式の例では、実行状態とトランスクリプトを保存し、クリーンアップについてオペレーターに確認します。特にワークロードに機密入力や生成ファイルが含まれる場合、プラットフォームを利用するアプリケーションは独自の保持判断を意図的に行うべきです。

ライフサイクルと永続性には明示的な管理が必要

アーキテクチャドキュメントでは、混同しやすい複数のオブジェクトを区別しています。

サンドボックスは、それを作成したリクエストが終了した後も利用可能な状態で残ることがあります。コマンドの完了によって、その環境が自動的に削除されるわけではありません。

ドキュメントでは、メモリ上での一時停止とスナップショットへのサスペンドも区別されています。停止中のすべての環境が同じ永続性やリソースコストを持つと、オペレーターは想定すべきではありません。アプリケーションが高速な再利用、永続的な復元、即時廃棄のどれを必要とするかに合わせて、ライフサイクルポリシーを設定してください。

ローカルセットアップにはDocker以上のものが必要

インストールガイドは、KVMを備えたaptベースのLinux x86-64ホストを対象としています。このガイドでは、/dev/kvmおよび/dev/net/tunへのアクセス、ループデバイス、btrfsサポート、そして特権コンテナを許可するローカルDockerデーモンが挙げられています。

仮想化されたホストでは、必要なデバイスとネストされた仮想化を利用できる必要があります。文書化された手順はmacOS上で直接実行できません。したがって、Docker Desktopがインストールされているだけでは、ノートPCでこのガイドを変更なしに実行できるとは言えません。

ウォークスルーではローカルのKindクラスタを使用します。これは文書化されたローカルセットアップですが、アーキテクチャでは直接アダプターも説明されています。Kubernetesを、あらゆるSPACEデプロイメントで避けられない必須要件として提示すべきではありません。

このガイドでは開発用の認証設定を使用し、本番用認証情報を使用しないよう明示的に警告しています。リリースを評価する際には、この区別を維持してください。ローカルでの実行成功は、開発環境が動作することを示すものであり、本番環境向けのセキュリティレビューが完了したことを示すものではありません。

エージェントランタイムをめぐるオープンソースの広がり

Semaforは、SPACEをエージェントの周囲に強制可能な境界を設ける他の取り組みと並べています。NVIDIA OpenShellは、公開されている別のエージェントランタイムであり、Firecrackerは、SPACEで説明されている実行モデルの基盤となるmicroVM技術を提供します。

これらのプロジェクトは異なるレイヤーで動作します。相互に代替可能だと考える前に、文書化されたホスト要件、ポリシー、統合ポイントを比較してください。SPACEについては、公開コード、初回実行の例、アーキテクチャが、その運用モデルが既存のエージェントシステムに適合するかを判断する最良の出発点です。

よくある質問

Perplexity SPACEとは何ですか？

SPACEは、エージェントおよびユーザーのコードを分離環境で実行するためのオープンソースプラットフォームです。公式ドキュメントでは、Firecracker microVMで構築され、HTTP APIで制御されるLinuxサンドボックスが説明されています。

SPACEは無料で使えますか？

リポジトリは、Apache 2.0ライセンスの条件に従って公開されています。ただし、ホスティング、インフラストラクチャ、および商用プロバイダーサービスには、引き続き費用が発生する場合があります。

このリリースはエージェントが脱出できないことを証明していますか？

いいえ。報告された118回の試行は、特定の企業主導テストを示すものです。セキュリティは、設定、ホスト保護、ワークロードに公開される権限にも左右されます。

ローカルガイドはMac上で直接実行できますか？

インストールガイドでは、KVMと必要なデバイスを備えたLinux x86-64が指定されています。手順はmacOS上で直接実行できないことが明示されています。

Dockerだけが前提条件ですか？

いいえ。このガイドには、仮想化、ネットワーク、ストレージのサポートも必要です。仮想マシンは、必要なデバイスを公開し、ネストされた仮想化をサポートしている必要があります。

完了したコマンドによってサンドボックスは削除されますか？

いいえ。コマンド完了とサンドボックスのライフサイクルは別です。アプリケーションはクリーンアップまたは再利用のポリシーを選択し、該当する操作結果を確認する必要があります。

関連ツール

• SPACE：Perplexityのプラットフォームで、分離されたコード実行とサンドボックスのライフサイクルを管理します。
• Firecracker：SPACEで説明される仮想化レイヤーを提供するmicroVM技術です。
• NVIDIA OpenShell：比較対象として有用な、別のオープンなエージェントランタイムです。

関連リンク

• Semaforの原典報道：インタビューに基づく発表および、帰属付きのセキュリティテストに関する主張を確認できます。
• SPACEリポジトリ：公開ソース、ライセンス、プロジェクトドキュメントを確認できます。
• SPACEガイド：ホストされたドキュメントの概要から始められます。
• インストールガイド：ホストの前提条件とローカルデプロイメントの前提を確認できます。
• 最初のサンドボックスのウォークスルー：文書化された実行およびクリーンアップのフローをたどれます。
• アーキテクチャリファレンス：ライフサイクル状態、サービスの役割、セキュリティ境界を確認できます。
• セキュリティポリシー：プロジェクトの脆弱性報告に関する情報を確認できます。

まとめ

SPACEは、検証可能なエージェント実行プラットフォームをApache 2.0の下で提供します。microVM環境、明示的なコマンドセッション、ライフサイクルAPIは、生成コードをアプリケーションのホスト環境から切り離して実行するための具体的な構成要素です。

このリリースには、依然として適切なインフラストラクチャと慎重な統合が必要です。企業のセキュリティテスト結果とあわせて、ホスト要件、リソース境界、クリーンアップの動作を評価してください。