Perplexity、エージェント向けサンドボックスプラットフォーム「SPACE」をオープンソース化

Perplexityは2026年10月15日、Computerのパーソナルエージェントを支えるサンドボックスプラットフォーム「SPACE」をオープンソース化すると発表した。Apache License 2.0の下でコードを公開し、公開リポジトリとホスト型ドキュメントも提供する。

商用プロバイダーからオープンソースへ

Perplexityは2月にComputerを立ち上げ、当初は商用のサンドボックスプロバイダーを利用していた。7月、同社はそのプロバイダーを、より堅牢で高い耐障害性を備えると説明する自社開発のソリューション「SPACE」に置き換えた。Perplexityによると、7月以降、Computerの全セッションでSPACEが稼働しており、1日あたり数百万件のサンドボックスを作成している。同社が同じ本番トラフィックで比較したところ、サンドボックスの作成速度は従来のプロバイダーと比べて3～5倍速かったという。

同社は、分離、状態の復元、認証情報とネットワークの制御機能を組み込んだ、エージェント実行環境向けの本番環境で実証済みの基盤を開発者に提供するため、SPACEをオープンソース化すると述べた。Perplexityは、エージェントのガバナンスはエンジニアリング上の課題だと位置づけ、その解決にはオープンソースが不可欠だと説明。システムを検証し、改変し、その上に構築できる開発者が増えれば、より多くの脆弱性が見つかり、より優れたツールが開発されると主張した。

分離とセッション制御

SPACEの各サンドボックスは、独自のOSを備えた小型仮想マシン内で稼働し、エージェントの作業環境とホストシステムとの間に分離境界を設ける。一方、中央のコントロールプレーンが、ワークスペースの作成、一時停止、再開、削除のタイミングを調整する。このプラットフォームはサンドボックスを信頼できないものとして扱い、ネットワークアクセスとプラットフォームが保持する認証情報をサンドボックスの外部で管理する。そのため、エージェントは認証情報を作業環境に保存せずに、許可されたサービスへ接続できる。

ファイルのスナップショットと実行環境全体のチェックポイントを頻繁に作成し、中断が発生しても進捗を維持する。こうした処理を効率化するため、SPACEは環境全体を何度もコピーするのではなく、変更分を保存する。これにより、サンドボックスの作成、復元、分岐に必要な作業を減らせる。

Computerでは、SPACEがコードの分離実行、一時停止と再開、復元、セッションの分岐をサポートする。Perplexityによると、これらの機能は、別のワークスペースで表計算シートを整理し、計算を実行してグラフを作成するアシスタントの基盤となる。また、下書きを人が確認したり、不足している情報を補ったりできるように処理を一時停止し、ファイルと実行状態を維持したまま再開することも可能だ。さらに、ワークスペースの別々のコピーでデータセットを整理する2つの方法を試し、誤りがあった場合には以前のファイルを復元できる。

Perplexityによると、正当なタスクに取り組むエージェントでも、ファイルの欠落、リクエストの失敗、権限の拒否に対処しようとする過程で、セキュリティ境界を越えることがある。同社は、危険な動作の可能性を下げるモデル側の安全対策と、エージェントがアクセスできる範囲を制限し、安全対策が機能しなかった場合の被害を封じ込める周辺システム側の独立した制御を組み合わせていると述べた。

セキュリティ評価

Perplexityによると、最近実施した大規模なセキュリティテストで、SPACEはOpenAI/Hugging Faceのインシデントで使われたようなネットワーク制限の回避手法に対する耐性を示した。同社が公開したセキュリティ評価では、境界を意図的に突破しようとするエージェントを使ってプラットフォームを検証し、108回の試行で仮想マシンからホストへの脱出は確認されなかった。一部の試行ではネットワーク制限を回避する方法が見つかったものの、Perplexityはその脆弱性を修正し、特定された2種類の攻撃手法はいずれも追試で成功しなかったと述べた。また同社は、他のサンドボックスプラットフォームで見つけた関連する脆弱性を、それぞれのベンダーに開示したという。

SPACEは、PerplexityがSecure Intelligence Instituteを通じて公開してきたセキュリティツール群に加わる。同社は同研究所について、セキュリティ研究を実施し、より幅広いコミュニティと協力するための取り組みだと説明している。先行するツールには、ウェブページに隠された悪意ある指示を検出するためのモデルとベンチマークであるBrowseSafe、危険なエージェントのコンピューター上での挙動の検出、調査、防止を支援する、7月にオープンソース化されたセキュリティツールキットのNumbat、そして開発者のマシン上にあるリスクの高いソフトウェアパッケージ、拡張機能、AIツールの設定をチェックする、5月にオープンソース化されたスキャナーのBumblebeeがある。

リポジトリとクラウドでの提供

SPACEは「Sandboxed Platform for Agentic Code Execution」の略称で、Apache License 2.0の下、GitHubリポジトリで公開されている。リポジトリによると、このプラットフォームは分離されたFirecrackerのマイクロVM内でコードを実行し、Linux環境の作成、コマンドの実行、出力の収集、サンドボックスのライフサイクル管理にHTTP APIを使用する。テンプレートが初期環境を提供し、サンドボックスは独自の仮想マシンと書き込み可能なファイルシステムを備えたその環境のインスタンスで、同じサンドボックス内で複数のコマンドを実行できる。ライフサイクルの変更は非同期で行われ、APIは操作IDを返し、呼び出し元は完了するまでポーリングする。コマンドの出力は、セッション単位のアタッチメントトークンを使う別個のデータプレーン接続を通じて送信される。

SPACEはRustで実装されていますが、アプリケーションはRustライブラリを組み込むのではなく、HTTPとサーバー送信イベントを介してSPACEとやり取りします。このプロジェクトには、動作確認済みのE2B Python SDKと連携するE2B互換ラッパーが含まれています。セットアップドキュメントでは、ローカルのKindクラスターへのデプロイと認証について説明し、アーキテクチャガイドでは、Kubernetesを使わずにSPACEを実行する方法を解説しています。SPACEのホステッド版ガイドでは、インストール、設定、最初のサンドボックスを使ったワークフロー、アーキテクチャを順を追って説明しており、併せて提供されるAPIリファレンスには、エンドポイント、フィールド、使用例が記載されています。

Perplexityによると、CoreWeaveとAkamaiはそれぞれのクラウドプラットフォーム上でSPACEをテストして提供を開始し、顧客がSPACEを利用できるよう、同社と協力しています。さらに同社によると、CrusoeもPerplexityと提携し、自社のクラウドプラットフォーム上でSPACEをManaged AI Servicesのポートフォリオに加える取り組みを進めています。