Perplexity hat am 15. Oktober 2026 in seinem offiziellen Hub-Blog angekündigt, SPACE als Open Source freizugeben – die Sandbox-Plattform hinter Computer, seinem persönlichen Agentenprodukt. Beim Start von Computer im Februar lief noch ein kommerzieller Sandbox-Dienst; im Juli wurde er durch das selbst entwickelte SPACE ersetzt, das seitdem jede Computer-Sitzung trägt und täglich Millionen von Sandboxen erzeugt. Perplexitys Begründung ist geradlinig: Agenten-Governance ist ein Ingenieursproblem, auf das Wohlverhalten des Modells allein darf man sich nicht verlassen, und die Laufzeitumgebung selbst muss von anderen prüfbar, anpassbar und härtbar sein. Veröffentlicht wurde kein Papier, sondern produktiv erprobter Laufzeitcode, samt Repository und Bereitstellungsdokumentation ab dem ersten Tag.
So wird isoliert: Jeder Agent lebt in seiner eigenen virtuellen Maschine
Die Grundeinheit von SPACE ist eine kleine virtuelle Maschine mit eigenem Betriebssystem. Code und Dateien des Agenten bleiben in dieser Maschine, während eine zentrale Steuerungsebene Sandboxen erzeugt, pausiert, fortsetzt und entfernt. Zwei Entwurfsdetails stechen heraus. Erstens gilt die Sandbox als nicht vertrauenswürdig: Netzzugang und plattformseitig verwahrte Zugangsdaten werden außerhalb verwaltet, sodass ein Agent erlaubte Dienste erreichen kann, ohne dass die Zugangsdaten je in seiner Arbeitsumgebung liegen – die Schlüssel bleiben gewissermaßen vor der Tür. Zweitens wird der Fortschritt über häufige Datei-Snapshots und Checkpoints der gesamten Umgebung gesichert, die nur Änderungen speichern statt alles zu kopieren. So setzt eine pausierte Sitzung mit Dateien und laufendem Zustand fort, und eine Sitzung lässt sich in zwei Kopien verzweigen, die verschiedene Wege ausprobieren. Wir hatten zuvor darüber berichtet, wie Perplexity Projects in zurücksetzbare Arbeitsbereiche verwandelt; SPACE kümmert sich um die untere Hälfte dieses Problems: wo der Code tatsächlich läuft und wer ihn auffängt, wenn er aus der Spur gerät.
108 Ausbruchsversuche, null Erfolge – wie ist das Ergebnis zu lesen?
In Perplexitys veröffentlichter Sicherheitsauswertung wurden Agenten absichtlich auf die Grenze losgelassen: Bei keinem der 108 Versuche gelang der Ausbruch aus der virtuellen Maschine auf den Host, auch wenn einige Wege um die Netzbeschränkungen fanden. Perplexity gibt an, diese Schwächen behoben zu haben, und in Folgetests sei keine der beiden gefundenen Angriffsmethoden mehr erfolgreich gewesen. Außerdem erzeuge SPACE Sandboxen bei gleichem Produktionsverkehr drei- bis fünfmal schneller als der frühere kommerzielle Anbieter, und verwandte Schwächen in anderen Sandbox-Plattformen seien deren Anbietern gemeldet worden. Diese Zahlen sind mit Vorsicht zu lesen: Perplexity hat die Tests selbst entworfen und durchgeführt, und der Umfang ist begrenzt. Sie zeigen ernsthafte Gegner-Tests, ersetzen aber kein externes Audit. Der eigentliche Wert der Offenlegung liegt genau darin, dass Außenstehende das Experiment jetzt mit eigenen Angriffen wiederholen können.
Welche Teams SPACE herunterladen und ausprobieren sollten
Teams, die einem Agenten Code-Ausführung geben, sollten zuerst hinschauen: Statt Isolation, Snapshots und Zugangsdaten-Verwaltung bei null zu bauen, lohnt der Abgleich der eigenen Lücken mit der SPACE-Umsetzung, besonders bei Zugangsdaten außerhalb der Sandbox und wiederherstellbaren Sitzungszuständen. Die Cloud-Anbieter deuten an, dass dies mehr ist als eine Vitrine: CoreWeave und Akamai haben SPACE auf ihren Plattformen getestet und gestartet, und Crusoe nimmt es in seine verwalteten KI-Dienste auf. Teams, deren Agenten gar keinen Code ausführen oder die vollständig auf die gehostete Umgebung eines Anbieters setzen, können diese Runde aussetzen. Der Agenten-Wettlauf dreht sich inzwischen nicht mehr nur darum, wie klug das Modell ist, sondern wer die Kosten eines Kontrollverlusts im Voraus in eine Box sperrt – und SPACE veröffentlicht die Bauanleitung dieser Box.
