Perplexity SPACE：開源 AI Agent 沙箱與系統需求

能夠撰寫程式碼的 Agent 也需要一個可執行程式碼的地方。若讓生成的程式碼直接存取開發者的電腦或正式環境伺服器，模型的一次錯誤便可能演變為潛在的系統事件。沙箱提供獨立的執行環境，並設有周邊應用程式可管理的邊界。

Perplexity 正在公開其實作。Semafor 於 10 月 15 日報導，該公司正在釋出 SPACE，並與基礎設施合作夥伴合作，向客戶提供此服務。公開儲存庫如今讓開發者可檢視具體實作，而不只是評估一項產品主張。

釋出了什麼？

SPACE 是 Sandboxed Platform for Agentic Code Execution 的縮寫。官方儲存庫將其描述為一個 HTTP API，用於建立隔離的 Linux 環境、執行命令、收集輸出，以及管理其生命週期。該儲存庫列示採用 Apache 2.0 授權條款。

執行單位是 Firecracker microVM。範本提供初始檔案系統與執行階段設定，而每個沙箱都有各自可寫入的環境。當任務需要延續性時，應用程式可以在同一個沙箱中執行多項命令。

這是用於執行程式碼的基礎設施。應用程式仍須決定要執行什麼任務、提供哪些輸入，以及保留哪些輸出。開源也不代表提供免費運算資源：仍須有人營運主機、儲存空間及相關服務。

安全測試主張及其限制

Perplexity 向 Semafor 表示，該公司曾要求九個前沿模型嘗試逃逸，並在 118 次嘗試中未觀察到成功逃逸。該報導亦指出，CoreWeave、Akamai 與 Crusoe 是同意向客戶提供 SPACE 的合作夥伴。

這些說法應維持歸因於該公司及報導。有限次測試中未觀察到逃逸，是關於該測試的有用證據，但無法證明隔離邊界能承受所有未來的漏洞利用或部署錯誤。同樣地，合作夥伴的參與也不代表各供應商都提供相同的可用性或定價。

工程上的問題在於，系統在應用程式威脅模型下會如何運作。除了底層 VM 邊界外，還應檢視 Agent 可存取哪些資源、哪些憑證會進入環境，以及需要哪些主機權限。

沙箱任務如何執行

第一個沙箱操作說明將環境建立、命令執行與清理分開：

1. 從已發布的範本建立沙箱，並保留其識別碼。
2. 等待生命週期操作成功，並等待環境進入就緒狀態。
3. 建立命令工作階段，然後附加至其事件串流以開始執行。
4. 讀取輸出並驗證程序結束結果。
5. 檢查沙箱，並決定保留或刪除它。

這個順序很重要，因為接受請求不同於完成請求。成功的建立回應本身，並不能證明客體環境已準備好接受命令。同樣地，收到部分輸出也無法證明程序已成功完成。

官方範例會保留執行狀態和逐字記錄，並詢問操作人員如何進行清理。使用該平台的應用程式應審慎做出自己的保留決策，尤其是在工作負載包含機密輸入或生成檔案時。

生命週期與持久性需要明確處理

架構文件區分了幾種容易混淆的物件：

沙箱在建立它的請求結束後，仍可能保持可用。完成一項命令不會自動刪除其環境。

文件也區分了常駐暫停與暫停至快照。操作人員不應假設每個已停止的環境都有相同的持久性或資源成本。生命週期政策應配合應用程式是否需要快速重用、可持久還原，或立即處置。

本機設定不只需要 Docker

安裝指南的目標環境是具備 KVM 的、以 apt 為基礎的 Linux x86-64 主機。指南列出需要存取 /dev/kvm 與 /dev/net/tun、迴圈裝置、btrfs 支援，以及允許特權容器的本機 Docker daemon。

對於虛擬化主機，必須提供所需裝置與巢狀虛擬化功能。文件中的程序無法直接在 macOS 上執行。因此，僅安裝 Docker Desktop 並不足以證明筆記型電腦可不經修改地遵循本指南。

操作說明使用本機 Kind 叢集。這是文件記載的本機設定方式，而架構文件也描述了直接介接器；不應將 Kubernetes 表述為所有可能 SPACE 部署皆不可避免的要求。

指南使用開發用驗證設定，並明確警告不要使用正式環境憑證。評估此版本時應保留這項區分：成功完成本機操作，證明的是可運作的開發設定，而不是已完成的正式環境安全審查。

開源在更廣泛的 Agent 執行階段生態中的位置

Semafor 將 SPACE 放在其他為 Agent 設置可強制執行邊界的方案之中。NVIDIA OpenShell是另一個公開可用的 Agent 執行階段，而 Firecracker則提供了 SPACE 所描述執行模型底層的 microVM 技術。

這些專案處於不同層級。在假設它們可以互換之前，應比較其已記錄的主機需求、政策及整合點。就 SPACE 而言，公開程式碼、首次執行範例與架構文件，是判斷其操作模型是否適合既有 Agent 系統的最佳起點。

常見問題

什麼是 Perplexity SPACE？

SPACE 是一個用於在隔離環境中執行 Agent 和使用者程式碼的開源平台。其官方文件描述了以 Firecracker microVM 建構、並透過 HTTP API 控制的 Linux 沙箱。

SPACE 可免費使用嗎？

該儲存庫依 Apache 2.0 授權條款釋出，並受該授權條款約束。主機代管、基礎設施以及任何商業供應商服務仍可能產生成本。

此次發布是否證明 Agent 無法逃逸？

否。報導中的 118 次嘗試描述的是一項由公司執行的特定測試。安全性也取決於設定、主機保護，以及向工作負載開放的權限。

本機指南可以直接在 Mac 上執行嗎？

不可以。安裝指南指定 Linux x86-64、KVM 與必要裝置，並明確指出其說明無法直接在 macOS 上執行。

Docker 是唯一的先決條件嗎？

不是。該指南也要求虛擬化、網路與儲存支援。虛擬機器必須提供所需裝置並支援巢狀虛擬化。

已完成的命令會刪除沙箱嗎？

不會。命令完成與沙箱生命週期是分開的。應用程式必須選擇其清理或重用政策，並驗證相關操作結果。

相關工具

• SPACE：Perplexity 的平台可管理隔離的程式碼執行與沙箱生命週期。
• Firecracker：此 microVM 技術提供 SPACE 所描述的虛擬化層。
• NVIDIA OpenShell：另一個開放式 Agent 執行階段，可作為有價值的實作比較對象。

相關連結

• Semafor 來源報導：閱讀基於訪談的公告，以及已歸因的安全測試主張。
• SPACE 儲存庫：檢視公開原始碼、授權條款與專案文件。
• SPACE 指南：從託管文件總覽開始。
• 安裝指南：檢查主機先決條件與本機部署假設。
• 第一個沙箱操作說明：依照文件記載的執行與清理流程操作。
• 架構參考資料：檢閱生命週期狀態、服務角色與安全邊界。
• 安全性政策：查閱專案的漏洞回報資訊。

摘要

SPACE 以 Apache 2.0 授權條款提供可檢視的 Agent 執行平台。其 microVM 環境、明確的命令工作階段與生命週期 API，為在應用程式主機環境之外執行生成程式碼提供了具體的建構模組。

此版本仍需要適當的基礎設施與審慎整合。應將主機需求、資源邊界與清理行為，連同公司的安全測試結果一併評估。