Perplexity veröffentlicht seine interne Sandbox-Plattform SPACE für Agenten als Open Source

Perplexity gab am 15. Oktober 2026 bekannt, SPACE als Open Source freizugeben. Die Sandbox-Plattform bildet die Grundlage für den persönlichen Agenten Computer. Der Code wird unter der Apache License 2.0 veröffentlicht; dazu gibt es ein öffentliches Repository und gehostete Dokumentation.

Vom kommerziellen Anbieter zu Open Source

Perplexity brachte Computer im Februar auf den Markt und nutzte zunächst einen kommerziell verfügbaren Sandbox-Anbieter. Im Juli ersetzte das Unternehmen diesen durch eine eigene Lösung namens SPACE, die es als robuster und widerstandsfähiger beschrieb. Perplexity zufolge laufen seit Juli alle Computer-Sitzungen über SPACE; die Plattform bewältigt täglich Millionen von Sandbox-Erstellungen. Im Vergleich mit demselben Produktionsaufkommen erfolgte die Erstellung von Sandboxes laut Perplexity drei- bis fünfmal schneller als beim vorherigen Anbieter.

Das Unternehmen erklärte, SPACE als Open Source freizugeben, um Entwicklern eine in der Produktion erprobte Grundlage für Agentenlaufzeitumgebungen zu bieten, die Isolation, Zustandswiederherstellung sowie Steuerungsmöglichkeiten für Zugangsdaten und Netzwerkzugriffe umfasst. Perplexity stellte die Verwaltung von Agenten als technische Herausforderung dar und erklärte, Open Source sei für deren Bewältigung unverzichtbar. Entwickler, die ein System untersuchen, anpassen und darauf aufbauen können, entdecken demnach mehr Schwachstellen und entwickeln bessere Werkzeuge.

Isolation und Sitzungssteuerung

Jede SPACE-Sandbox läuft in einer kleinen virtuellen Maschine mit eigenem Betriebssystem. Dadurch entsteht eine Isolationsgrenze zwischen der Arbeit des Agenten und dem Hostsystem. Eine zentrale Steuerungsebene koordiniert, wann Arbeitsumgebungen erstellt, angehalten, fortgesetzt oder entfernt werden. Die Plattform behandelt die Sandbox als nicht vertrauenswürdig und verwaltet Netzwerkzugriffe sowie plattformseitig gespeicherte Zugangsdaten außerhalb der Sandbox. So können Agenten eine Verbindung zu autorisierten Diensten herstellen, ohne dass diese Zugangsdaten in ihrer Arbeitsumgebung gespeichert werden.

Regelmäßige Dateisicherungen und Prüfpunkte für die gesamte laufende Umgebung bewahren den Arbeitsfortschritt bei Unterbrechungen. Damit diese Vorgänge effizient bleiben, speichert SPACE Änderungen, statt ganze Umgebungen wiederholt zu kopieren. So verringert sich der Aufwand für das Erstellen, Wiederherstellen oder Abzweigen einer Sandbox.

In Computer unterstützt SPACE die isolierte Codeausführung, das Anhalten und Fortsetzen, die Wiederherstellung sowie das Verzweigen von Sitzungen. Perplexity zufolge bilden diese Funktionen die Grundlage für Assistenten, die eine Tabellenkalkulation in einer separaten Arbeitsumgebung bereinigen, Berechnungen ausführen und Diagramme erstellen könnten; die Arbeit anhalten könnten, damit eine Person einen Entwurf prüft oder fehlende Informationen ergänzt, und anschließend mit erhaltenen Dateien und laufendem Zustand fortfahren könnten; oder zwei Methoden zur Bereinigung eines Datensatzes in getrennten Kopien einer Arbeitsumgebung testen und nach einem Fehler eine frühere Dateiversion wiederherstellen könnten.

Perplexity zufolge können Agenten, die legitime Aufgaben erledigen, dennoch Sicherheitsgrenzen überschreiten, wenn sie versuchen, fehlende Dateien, fehlgeschlagene Anfragen oder verweigerte Berechtigungen zu umgehen. Das Unternehmen erklärte, es kombiniere Schutzmaßnahmen im Modell, die das Risiko unsicheren Verhaltens verringern, mit unabhängigen Kontrollen im umgebenden System. Diese begrenzen den Zugriff des Agenten und halten den Schaden ein, falls die Schutzmaßnahmen versagen.

Sicherheitsbewertung

Perplexity zufolge hat eine kürzlich durchgeführte Reihe von Sicherheitstests gezeigt, dass SPACE gegenüber Methoden zur Umgehung von Netzwerksperren widerstandsfähig ist, wie sie beim Vorfall mit OpenAI/Hugging Face zum Einsatz kamen. In der veröffentlichten Sicherheitsbewertung des Unternehmens, bei der Agenten gezielt versuchten, die Grenzen der Plattform zu durchbrechen, verzeichneten die Tester bei 108 Versuchen keinen Ausbruch aus der virtuellen Maschine auf das Hostsystem. Bei einigen Versuchen gelang es, Netzwerkeinschränkungen zu umgehen. Perplexity erklärte, diese Schwachstellen behoben zu haben; bei anschließenden Tests war keine der beiden identifizierten Angriffsmethoden erfolgreich. Das Unternehmen teilte außerdem mit, dass es die Anbieter anderer Sandbox-Plattformen über entsprechende Schwachstellen informiert habe, die es dort entdeckt hatte.

SPACE ergänzt eine Reihe von Sicherheitstools, die Perplexity über sein Secure Intelligence Institute veröffentlicht hat. Das Unternehmen beschrieb das Institut als Initiative für Sicherheitsforschung und die Zusammenarbeit mit der breiteren Community. Zu den früheren Tools gehören BrowseSafe, ein Modell und Benchmark zur Erkennung bösartiger Anweisungen, die in Webseiten verborgen sind; Numbat, ein im Juli als Open Source veröffentlichtes Sicherheitstoolkit, das gefährliches Agentenverhalten auf Computern erkennen, untersuchen und verhindern hilft; sowie Bumblebee, ein im Mai als Open Source veröffentlichter Scanner, der Entwicklerrechner auf riskante Softwarepakete, Erweiterungen und Konfigurationen von KI-Tools prüft.

Repository und Verfügbarkeit in der Cloud

SPACE steht für Sandboxed Platform for Agentic Code Execution und wird unter der Apache License 2.0 in einem GitHub-Repository veröffentlicht. Das Repository beschreibt eine Plattform, auf der Code in isolierten Firecracker-Mikro-VMs ausgeführt wird. Über eine HTTP-API lassen sich Linux-Umgebungen erstellen, Befehle ausführen, Ausgaben erfassen und Sandbox-Lebenszyklen verwalten. Eine Vorlage stellt die Ausgangsumgebung bereit; eine Sandbox ist eine Instanz dieser Umgebung mit eigener virtueller Maschine und beschreibbarem Dateisystem. In derselben Sandbox können mehrere Befehle ausgeführt werden. Änderungen am Lebenszyklus erfolgen asynchron: Die API gibt eine Vorgangs-ID zurück, deren Status der Aufrufer bis zum Abschluss abfragt. Die Befehlsausgabe wird über eine separate Datenverbindung übertragen, für die ein an die Sitzung gebundenes Zugriffstoken verwendet wird.

SPACE ist in Rust implementiert, Anwendungen greifen jedoch über HTTP und Server-Sent Events darauf zu, anstatt eine Rust-Bibliothek einzubinden. Das Projekt umfasst einen E2B-Kompatibilitäts-Wrapper, der mit einem getesteten E2B-Python-SDK funktioniert. Die Einrichtungsdokumentation behandelt die Bereitstellung in einem lokalen Kind-Cluster und die Authentifizierung, während der Architekturleitfaden erläutert, wie SPACE ohne Kubernetes ausgeführt werden kann. Ein gehosteter SPACE-Leitfaden führt durch Installation, Konfiguration, einen Arbeitsablauf für die erste Sandbox und die Architektur. Eine ergänzende API-Referenz führt Endpunkte, Felder und Beispiele auf.

Perplexity teilte mit, dass CoreWeave und Akamai SPACE auf ihren jeweiligen Cloud-Plattformen getestet und eingeführt haben und mit dem Unternehmen daran arbeiten, SPACE ihren Kunden bereitzustellen. Auch Crusoe arbeitet mit Perplexity zusammen, um SPACE in sein Portfolio Managed AI Services auf seiner Cloud-Plattform aufzunehmen, so das Unternehmen.