Perplexity открыла SPACE: что спросить у подрядчика про изоляцию ИИ

Что опубликовано и что я проверил

Проверял 19.10.2026 по первоисточникам. Пост Perplexity называет SPACE платформой, на которой с июля идут сессии Computer. Репозиторий perplexityai/SPACE: файл LICENSE содержит Apache 2.0, язык Rust, не архивирован, 1534 звезды, 124 форка. По данным GitHub, репозиторий создан 1 октября, последний коммит 18 октября. Релизов и тегов нет. Документация называет 0.8.0 публичной базой, стабильные контракты обещает с 1.0.

В репозитории лежит не только клиент: API, контроллеры, рабочие службы, шаблоны сред, скрипты установки. Совпадает ли этот код с тем, что работает у Perplexity в продакшене, пост и README не говорят. Сам агент Computer, его модели и логика не опубликованы.

Про цифры. «В 3-5 раз быстрее» в посте сравнивается с прежним провайдером Perplexity на её собственном трафике, а не со всеми коммерческими аналогами. «Миллионы запусков в день» тоже слова компании, по коду их не проверить.

Контейнер, виртуальная машина и снимки состояния

Контейнер делит с сервером одно ядро Linux. Ошибка в ядре или в настройках изоляции, и чужой код оказывается на сервере. У виртуальной машины своё ядро и память, а между ней и сервером стоит гипервизор. В SPACE это Firecracker на KVM. Устройство разбирал в статье про Microsandbox.

Perplexity проверила изоляцию на себе. В отчёте от 23 сентября девять моделей получили права root внутри гостевой машины и пытались достать приманку-ключ на хосте. Из машины на хост не вышел никто в 108 попытках. Сетевые ограничения при частичном доступе в сеть обошли в 11 из 54 запусков: через подмену DNS и через общие IP-адреса сторонних сервисов. Исправления Perplexity описала. Свой отчёт она заканчивает оговоркой: отсутствие замеченного побега доказательством изоляции не служит.

Снимок состояния это сохранённая память и диск работающей среды. Он нужен для трёх вещей. Откат: агент испортил среду, вы вернулись к точке до ошибки. Пауза: задача ждёт человека, ресурсы освобождены. Ветвление: из одной точки пробуете два варианта, не копируя среду целиком.

В документации SPACE пауза держит память на сервере и надёжным снимком не считается. Приостановка (suspend) сохраняет память, состояние и корневую файловую систему и освобождает ресурсы, а wake восстанавливает. Песочница без обращений шесть часов приостанавливается сама. Ветвление сессий заявлено в посте, отдельного описания в прочитанной части документации я не нашёл. Снимок возвращает и ошибку, если она была до него. Письмо или платёж, которые агент уже отправил, откат среды не отменит.

Сетевые правила и ключи должны быть снаружи

Пост описывает так: песочница считается недоверенной, сетевой доступ и учётные данные держит слой вне её. В коде это подтверждается. Сетевая политика SPACE содержит правила, по которым шлюз подставляет заголовки с учётными данными в запросы к разрешённым адресам (методы GET, POST, HEAD). Агент вызывает сервис и ключа не видит.

Если ключ лежит в переменных окружения внутри песочницы, его прочитает всё, что там запущено, включая скрипт из присланного клиентом файла. Правило запрета в сети, настроенное внутри машины, обойдёт тот, у кого там права root. Отчёт показывает именно такую картину.

Слой управления у SPACE есть и опубликован: API с базой PostgreSQL, контроллеры, рабочие службы. Приложение, которое решает, что запускать и какие результаты хранить, пишете вы. Где агенту нужен человек, разобрано в статье про границу автономности.

Восемь вопросов подрядчику про изоляцию

1. Где выполняется код, который пишет агент: на боевом сервере, в контейнере или в отдельной виртуальной машине?
2. Что агент видит из файловой системы: только папку задачи или ещё диски, настройки и соседние проекты?
3. Куда агент ходит по сети и где хранится список разрешённых адресов: внутри его среды или снаружи?
4. Где лежат ключи и токены: в переменных окружения агента или подставляются снаружи при обращении к разрешённому адресу?
5. Кто и как останавливает агента, сколько это занимает?
6. Можно ли откатить среду к точке до ошибки, как часто делаются снимки и сколько хранятся?
7. Что попадает в журнал: команды, обращения к сети, вызовы с ключами? Сколько он хранится и могу ли я его получить?
8. Что остаётся после задачи: среда удаляется, или файлы одного клиента увидит следующая задача?

Хороший ответ конкретный: название технологии, пример настройки, показ журнала.

Что важно учесть: платформа избыточна

Требования к установке по документации: Linux x86_64 с доступом к /dev/kvm, устройства tun и loop, поддержка btrfs, Docker с привилегированными контейнерами и кластер Kind. На macOS не запускается, в облачной виртуальной машине нужна вложенная виртуализация. Руководство предупреждает, что локальная установка использует учебные пароли и ключи подписи, держать её нужно закрытой. Архитектурный документ говорит, что SPACE может работать и без Kubernetes, но пошаговое руководство описывает только вариант с ним.

Это инструмент для тех, кто продаёт песочницы или запускает тысячи агентов. У малого бизнеса агентов обычно один-два. Им достаточно простых мер: отдельный пользователь без лишних прав, одна рабочая папка, сеть только на нужные адреса, ключи с минимальными правами, лимит операций, журнал и подтверждение человеком опасных действий. Если агент запускает код или открывает чужие файлы, добавляйте лёгкую песочницу, как в материале про песочницу на компьютере.

Что можно сделать уже сейчас

Отправьте вопросы. Перешлите подрядчику список из восьми пунктов письменно и приложите ответы к договору.

Проверьте ключи. Вытащите их из окружения агента, замените на ограниченные и запишите, кто может их отозвать.

Проверьте сервер. Если агент запускает код, посмотрите, есть ли /dev/kvm, и сделайте пробный запуск в микровиртуальной машине.

Проверить схему изоляции вашего агента или собрать её с нуля могу в рамках услуги по кибербезопасности и разработки ИИ-агентов под ключ.

Частые вопросы

Нужен ли SPACE, если агент у меня один?

Нет. Платформа рассчитана на множество параллельных сред. Для одного агента важнее правила доступа и ключи вне среды.

Виртуальная машина защищает полностью?

Нет. Уязвимости гипервизора и процессора остаются, а сетевые ограничения, как видно из отчёта, обходились. Perplexity сама пишет, что отсутствие найденного побега ничего не доказывает.

Можно ли поставить SPACE на обычный VPS?

Нужны KVM, вложенная виртуализация, привилегированный Docker и btrfs. Есть ли это на вашем тарифе, уточняйте у хостера.

Коротко о главном

SPACE от Perplexity открыта под Apache 2.0, изолирует каждую среду отдельной виртуальной машиной и держит сеть и ключи вне песочницы. Скорость и масштаб это слова компании, а проект остаётся ранним и тяжёлым в установке. Малому бизнесу из неё нужны принципы: код агента отдельно от сервера, ключи снаружи, откат и журнал.

Если хотите, чтобы я разобрал схему изоляции вашего агента или проверил ответы подрядчика, напишите мне в Telegram кодовое слово «ВОЛЬЕР».