Perplexity ha liberado SPACE, el sistema de sandboxes que usa para encerrar el código que ejecutan sus agentes. El código está en GitHub con licencia Apache 2.0, una de las más permisivas que hay, y la empresa lo anunció el 15 de octubre como base para que otros desarrolladores monten agentes más seguros.
SPACE no es un experimento de laboratorio. Desde julio mueve todas las sesiones de Computer, el agente personal de Perplexity, y crea millones de sandboxes al día.
Puntos clave
- Qué es: SPACE (Sandboxed Platform for Agentic Code Execution) aísla cada tarea de un agente en una pequeña máquina virtual Firecracker con su propio sistema operativo.
- En producción: sustituyó en julio al proveedor comercial que usaba Computer. Perplexity dice que crea sandboxes entre 3 y 5 veces más rápido con el mismo tráfico.
- Seguridad: en sus pruebas, ningún agente salió de la máquina virtual al servidor en 108 intentos. Algunos sí se saltaron las reglas de red, y Perplexity dice que ya lo ha corregido.
- Quién lo ofrece ya: Akamai lo ha lanzado en su nube, Crusoe lo va a meter en sus servicios gestionados de IA y CoreWeave ha publicado una guía para desplegarlo.
Qué es un sandbox y por qué lo necesita un agente
Un sandbox es un espacio cerrado donde un programa puede hacer de todo sin tocar lo que hay fuera. Para un agente de IA es el sitio donde ejecuta el código que escribe, abre archivos, instala paquetes o lanza una hoja de cálculo.
El problema es que un agente no siempre se porta como esperas. Perplexity lo cuenta sin rodeos: un agente que intenta cumplir una tarea legítima puede acabar cruzando límites de seguridad cuando se topa con un archivo que falta, una petición que falla o un permiso denegado. No hace falta que sea malicioso. Basta con que sea insistente.
Por eso la empresa separa dos capas. Una son las salvaguardas del propio modelo, que reducen la probabilidad de que haga algo peligroso. La otra son controles en el sistema que lo rodea, que limitan lo que el agente puede tocar aunque decida hacer otra cosa. SPACE es esa segunda capa.
Cómo funciona por dentro
Cada sandbox es una microVM de Firecracker, la tecnología de virtualización ligera que Amazon creó para AWS Lambda. Cada tarea arranca con su propia máquina virtual, su propio sistema operativo y su propio disco, y un plano de control central decide cuándo se crean, se pausan, se reanudan o se borran.
El detalle que más me interesa es el de las credenciales. SPACE trata el sandbox como territorio no fiable: el acceso a la red y las contraseñas de servicios externos se gestionan fuera. El agente puede conectarse a los servicios autorizados sin que las claves estén guardadas en el entorno donde trabaja. Si el agente se tuerce, no tiene las llaves a mano.
También guarda el estado. Hace instantáneas frecuentes de los archivos y de la máquina en marcha, y en vez de copiar el entorno entero cada vez, guarda solo los cambios. Eso permite pausar una tarea, retomarla días después con todo en su sitio, o abrir dos copias del mismo espacio para probar dos caminos.
Por dentro está escrito en Rust, pero se usa por HTTP, así que no hace falta saber Rust para integrarlo. El repositorio trae un ejemplo en Python sin dependencias, una guía para desplegarlo en Kubernetes en local y una capa de compatibilidad con el SDK de E2B, uno de los proveedores de sandboxes más usados. Quien ya tenga agentes sobre E2B puede probar SPACE sin reescribirlo todo.
Las pruebas de seguridad
Perplexity publicó una evaluación en la que puso a agentes a intentar romper SPACE a propósito. En 108 intentos, ninguno consiguió saltar de la máquina virtual al servidor que la aloja.
El resultado no fue perfecto, y la empresa lo dice. Algunos agentes encontraron formas de esquivar las restricciones de red. Perplexity asegura que corrigió esos fallos y que ninguno de los dos métodos de ataque funcionó en las pruebas posteriores. También avisó a otros proveedores de sandboxes de fallos parecidos que encontró en sus plataformas.
La empresa menciona expresamente el incidente de OpenAI y Hugging Face, en el que se usaron técnicas para saltarse restricciones de red, y dice que SPACE ha resistido ataques de ese tipo.
Parte de una serie
SPACE es la cuarta herramienta de seguridad que Perplexity libera a través de su Secure Intelligence Institute. En mayo sacó Bumblebee, un escáner que revisa ordenadores de desarrolladores en busca de paquetes, extensiones y configuraciones de IA peligrosas. En julio liberó Numbat, un kit para detectar y frenar comportamientos peligrosos de agentes de programación. Y antes había publicado BrowseSafe, un modelo para detectar instrucciones maliciosas escondidas en páginas web.
La lógica que defiende la empresa es que la seguridad de los agentes es un problema de ingeniería, y que se resuelve mejor si cualquiera puede inspeccionar el sistema y encontrarle fallos.
Hay también una lectura de negocio. Perplexity lleva meses moviéndose de buscador a plataforma de agentes con Computer, que ya hace hasta vídeo. Que Akamai, Crusoe y CoreWeave ofrezcan su sandbox a sus clientes le da una presencia en la infraestructura de agentes que no tenía.
Por qué importa
Si en tu empresa ya estáis dejando que agentes ejecuten código o toquen archivos, la pregunta de dónde corre ese código deja de ser teórica. Muchas empresas lo resuelven hoy con un contenedor Docker o directamente en el portátil del desarrollador, y eso no aísla tanto como parece.
SPACE no es para instalarlo un viernes por la tarde: pide Kubernetes y alguien de infraestructura que lo mantenga. Pero para equipos técnicos que estén montando agentes propios, es una base probada en producción, gratis y con una licencia que no pone condiciones. Y aunque no lo uséis, su diseño es una buena lista de comprobación para vuestro proveedor actual: que las credenciales no vivan dentro del sandbox, que la red esté cerrada por defecto y que se pueda volver a un punto anterior cuando el agente rompe algo.
Fuente original: perplexity.ai
Relacionado
