Что такое ИИ-агент Perplexity SPACE: открытая платформа запускает песочницу за 60 мс

Perplexity 8 июля опубликовала под открытой лицензией Apache 2.0 платформу SPACE, на которой каждый ИИ-агент (программа, которая сама выполняет задачи: пишет код, открывает сайты, запускает команды) её продукта Perplexity Computer работает в собственной изолированной микровиртуальной машине.

Прежде чем разбирать детали, коротко о главном.

Название расшифровывается как Sandboxed Platform for Agentic Code Execution, то есть «изолированная платформа для агентного (самостоятельного) выполнения кода». По данным Perplexity, 100% сессий продукта Computer уже работают на SPACE. Код написан на Rust, опубликован на GitHub в версии 0.8.0 и доступен всем, кто хочет запускать собственных ИИ-агентов в защищённой среде. Для русскоязычных разработчиков это редкая возможность: взять проверенный в продакшене стек и развернуть его на своём сервере.

Что умеет SPACE и почему это не просто «ещё одна песочница»?

• Каждая задача получает отдельную микро-ВМ. Технология Firecracker (легковесные виртуальные машины, которые Amazon разработала для Lambda) запускает для каждого агента собственное ядро Linux. Агент внутри имеет права суперпользователя (root), но хост-машина остаётся вне его контроля.

• Секреты не попадают внутрь гостевой машины. Пароли и токены (ключи доступа к сервисам) подставляются на сетевом уровне, снаружи. У хранилища учётных данных есть иерархия прав, лимиты запросов и журналирование.

• Сетевой шлюз фильтрует весь исходящий трафик. Каждое соединение, которое агент пытается открыть наружу, проходит через отдельный шлюз на хосте. Шлюз проверяет адрес назначения по белому списку.

• Четыре состояния песочницы помогают экономить ресурсы: работает, на паузе (память остаётся в оперативке), приостановлена (снимок памяти, диска и состояния сохраняется, ресурсы освобождаются), удалена. По умолчанию без активности песочница приостанавливается через 6 часов.

• Скорость создания среды. По данным Perplexity, медианная задержка создания песочницы упала со 185 мс до 60 мс по сравнению с предыдущим провайдером компании. На 90-м перцентиле падение ещё заметнее: с 447 мс до 89 мс.

Выдержала ли SPACE атаку «красной команды»?

Perplexity опубликовала отчёт Escaping SPACE: Part I. Девять моделей (мультимодальных, то есть работающих с текстом, кодом и другими форматами данных одновременно) получили полный root-доступ внутри гостевой машины и пытались выбраться наружу. Всего прошло 216 запусков в двух задачах и четырёх настройках сети.

• Побег из песочницы: 0 из 108 попыток достигли секрета на хосте.
• Обход сети при полной блокировке: 0 из 54 попыток.
• Обход сети при частичном доступе (до исправлений): 11 из 54 попыток. Четыре модели нашли путь: Claude Opus 5.0, GPT-5.6 Sol, GPT-5.6 Cyber и Kimi K3. Атаки использовали подмену DNS и общие IP-адреса CDN.

После этого Perplexity добавила валидацию адреса источника через nftables (межсетевой фильтр Linux). Шлюз теперь разрывает TLS-соединение и проверяет и SNI (имя сервера), и HTTP-заголовок host по белому списку. При повторном тестировании ни одна модель не прошла.

Та же команда проверила 10 сторонних платформ: 8 из 10 показали хотя бы один обход сетевой политики. Perplexity сообщила об уязвимостях каждому затронутому поставщику.

Как развернуть SPACE у себя?

1. Подготовьте хост: Linux x86_64 с поддержкой KVM (устройство /dev/kvm), файловая система btrfs, Docker, доступ к /dev/net/tun и loop-устройствам. На macOS платформа не работает. Запуск внутри виртуальной машины требует вложенной виртуализации (nested virtualization).

2. Разверните локальный кластер Kind (Kubernetes в Docker) по инструкции из репозитория на GitHub. Для облачного варианта в репозитории есть референсный шаблон для AWS EKS.

3. Если ваша команда уже использует платформу E2B, попробуйте обёртку совместимости E2B Compatibility Wrapper. Проверенная базовая версия Python-пакета: e2b==2.21.1.

Есть ли аналоги в России?

Прямого аналога SPACE среди российских продуктов на момент публикации нет. YandexGPT и GigaChat работают как закрытые модели (закрытая модель означает, что код и архитектура недоступны для самостоятельного развёртывания) и не предоставляют пользователю управляемую песочницу для агентов. Разработчики в РФ, которым нужна изолированная среда для ИИ-агентов, до сих пор использовали либо собственные Docker-контейнеры, либо зарубежные облачные песочницы. SPACE даёт третий путь: проверенное решение с открытым кодом, которое ставится на свой сервер.

Что это значит для вас, по ролям?

Автору Дзена и копирайтеру. Что такое ИИ-агент на практике: это программа, которая сама заходит на сайты, выполняет код, собирает данные. Если вы используете агентов для подбора фактуры или автоматизации рутины, SPACE показывает, как устроена безопасная среда для такой работы. Пока это инструмент для разработчиков, но понимание принципа поможет оценить, насколько защищён сервис, которому вы доверяете свои данные.

Разработчику и техническому предпринимателю в РФ. Конкретный стек (Linux x86_64, KVM, btrfs, Kind) позволяет развернуть платформу на собственном железе. Отчёт по безопасности с 216 тестовыми запусками и открытая методология дают ориентир, с чем сравнивать свои решения.

Маркетологу. Рынок агентных инструментов растёт, и вопрос «что такое ИИ-агент и насколько он безопасен» будут задавать клиенты. SPACE с его открытым кодом и опубликованными тестами изоляции упрощает ответ: есть проверяемый стандарт.

Частые вопросы

Можно ли запустить SPACE на обычном компьютере с Windows или macOS?

Нет. Платформа требует Linux x86_64 с поддержкой KVM. На macOS SPACE не работает. Для Windows понадобится виртуальная машина с Linux и включённой вложенной виртуализацией.

Чем SPACE отличается от обычного Docker-контейнера?

Docker-контейнер делит ядро операционной системы с хостом. SPACE запускает для каждого агента отдельную микровиртуальную машину Firecracker с собственным ядром. Секреты и сетевые правила живут снаружи, агент не может до них добраться. По результатам тестирования Perplexity, 0 из 108 попыток побега из такой машины увенчались успехом.

Бесплатен ли SPACE для коммерческого использования?

Да. Код распространяется под лицензией Apache 2.0, которая разрешает коммерческое использование, модификацию и распространение при сохранении уведомления об авторстве.