Perplexity hat am 15. Oktober 2026 den Quellcode seiner Agenten-Sandbox SPACE unter Apache 2.0 veröffentlicht. Die in Rust entwickelte Plattform betreibt ausführbaren Agentencode in Firecracker-MicroVMs. Laut Perplexity laufen seit Juli alle Computer-Sitzungen über SPACE; das Unternehmen spricht von Millionen neu angelegten Sandboxes pro Tag.
Die Veröffentlichung macht eine zuvor interne Produktionsarchitektur überprüfbar. Anwendungen können über eine HTTP-Schnittstelle Umgebungen erzeugen, Befehle ausführen, Ergebnisse abholen und Arbeitszustände pausieren oder wiederherstellen. Die API trennt die Steuerung einer Sandbox von der Verbindung, über die ein laufender Befehl seine Ausgabe liefert.
Die VM und das Netzwerk haben verschiedene Sicherheitsgrenzen
Jede Sandbox besitzt eine eigene virtuelle Maschine und ein beschreibbares Dateisystem. Plattformseitige Zugangsdaten und die Steuerung ausgehender Verbindungen liegen nach Perplexitys Architektur außerhalb dieser VM. Ein Agent kann deshalb nicht allein durch einen Befehl innerhalb seines Arbeitsverzeichnisses die Freigabe weiterer Ziele bestimmen.
Der bereits am 23. September veröffentlichte Sicherheitsbericht untersuchte diese Trennung. Neun Modelle erhielten Root-Rechte innerhalb einer Test-VM. In 108 Versuchen beobachtete Perplexity keinen Ausbruch auf den Host. Bei vollständig gesperrtem Netzwerk scheiterten ebenfalls alle 54 getesteten Umgehungsversuche.
Anders fiel das Ergebnis bei teilweise erlaubten Netzwerkverbindungen aus: In elf von 54 Läufen gelang eine Umgehung der vorgesehenen Netzwerkbeschränkung. Die Forscher führten das auf Fehler in der Prüfung von Netzwerkantworten und auf gemeinsam genutzte IP-Adressen zurück. Perplexity meldet, beide Problemklassen behoben und erneut geprüft zu haben. Diese Ergebnisse sind Herstellerangaben aus kontrollierten Tests, keine unabhängige Sicherheitszertifizierung.
Der veröffentlichte Code zeigt die Steuerung langer Agentenläufe
SPACE verwaltet die Lebenszyklen der virtuellen Maschinen asynchron. Eine Anwendung erhält für Start-, Pause- oder Löschvorgänge eine Operations-ID und kann deren Abschluss prüfen. Snapshots speichern Veränderungen, ohne für jeden Wiederanlauf die gesamte Umgebung kopieren zu müssen. Für längere Coding-Agent-Aufgaben ist das relevant, weil Unterbrechungen und menschliche Freigaben den Arbeitszustand nicht zwangsläufig verwerfen müssen.
Der offene Code ermöglicht es Entwicklern, Netzwerkregeln, Authentisierung und Wiederherstellungsverhalten selbst zu prüfen. Aus 108 erfolglosen Ausbruchsversuchen folgt keine Garantie, dass ein anderer Agent oder ein längerer Test die VM-Grenze nicht überwinden könnte.
Quellen: Perplexity, „Open-sourcing SPACE“, 15. Oktober 2026: https://www.perplexity.ai/hub/blog/open-sourcing-space Perplexity, „Escaping SPACE: Part I“, 23. September 2026: https://www.perplexity.ai/hub/blog/escaping-space-part-i Repository: https://github.com/perplexityai/SPACE Unabhängige Aufarbeitung, 16. Oktober 2026: https://www.tao.media/perplexity-releases-firecracker-based-space-agent-sandbox-under-apache-2-0/