发生了什么
Perplexity 于 2026 年 10 月 15 日宣布开源 SPACE——其自用的智能体代码执行沙箱。仓库以 Apache 2.0 许可在 GitHub 公开，代码为 Rust 编写，通过 HTTP API 使用。每个沙箱是一个 Firecracker 微虚拟机，拥有独立操作系统，与宿主之间是虚拟机管理程序边界而非容器命名空间；平台把网络访问权限与平台持有的凭证放在沙箱之外管理，凭证仅在调用需要的瞬间由节点侧注入，从而避免敏感信息出现在沙箱内部。SPACE 自 2026 年 7 月起支撑 Perplexity Computer 的全部会话。
- 许可：Apache 2.0，可商业使用、修改与二次开发
- 性能：沙箱创建延迟中位数约 60 毫秒（此前约 185 毫秒），支持暂停、恢复与滚动快照（最长保留约一周）
- 规模：Perplexity 称每日处理数百万次沙箱创建与数千万次重连事件
- 兼容：提供 E2B 兼容层，可运行基于 E2B Python SDK 的代码
- 托管伙伴：CoreWeave、Akamai、Crusoe 计划向各自客户提供 SPACE
红队结论：边界守住了，弱点是网络
Perplexity 在 9 月 23 日发布的红队报告《Escaping SPACE》中，让九款前沿模型在沙箱内以 root 权限尝试越狱。官方报告记录 108 次虚拟机逃逸尝试全部失败（对媒体的沟通中另有 118 次「零成功」口径）；真正的薄弱点在网络策略——当沙箱被允许访问软件包镜像时，有模型通过伪造 DNS 应答、或借用与白名单域名共享 IP 的第三方站点，在 54 次测试中 11 次取回了本应被屏蔽的回调地址。Perplexity 随后加入源地址校验与 HTTP 中继，复测中 25 次可用运行无一绕过。
- 同一「共享地址」手法在 Perplexity 测试的九款第三方沙箱中绕过七款（据其报告，涉及 E2B、Vercel、Modal、Daytona 等）
- Cloudflare 与英伟达 OpenShell 在同类测试中未被绕过
- 修复前：允许包镜像时 54 次中 11 次绕过；修复后：25 次可用运行零绕过
为什么对企业读者重要
对让智能体执行模型或用户生成代码的企业而言，沙箱正从「开发便利」变成运行时的核心控制层。SPACE 的价值在于给出一个已在生产规模运行、且可被审计的开源参考实现：Apache 2.0 许可消除了对托管沙箱的供应商锁定，而「凭证不进沙箱、出站流量在节点侧控制」的设计可直接迁移到自建流程。需要提醒的是，多数企业会通过 CoreWeave、Akamai、Crusoe 等伙伴消费托管版，而非自行运维 Firecracker 集群；自建还要求宿主机暴露 /dev/kvm 等硬件虚拟化能力。
尚不确定之处
越狱「零突破」与「提速 3 至 5 倍」均为 Perplexity 自评，尚无独立第三方复现；公开版本与 Computer 生产配置的默认网络、凭证策略是否一致也未披露。更关键的是方法论边界：报告说明测试中未发生虚拟机到宿主的逃逸，但网络策略绕过恰恰发生在智能体持有凭证或接触客户数据的场景下最危险，企业采用时应自行复核 egres 白名单与凭证注入路径，而不是把「开源即安全」当作结论。