Perplexity は 2026 年 10 月 15 日、個人向けエージェント製品 Computer を支えるサンドボックス基盤 SPACE のオープンソース化を、公式 Hub ブログで発表しました。Computer は今年2月の開始当初、商用サンドボックスを使っていましたが、7月に自社開発の SPACE へ置き換えられ、以来すべてのセッションを担い、1日に数百万回のサンドボックス作成を行っています。Perplexity の理由づけは率直です。エージェントの統制は工学の問題であり、モデルが自発的にルールを守ることに頼るだけでは不十分で、実行環境そのものを同業者が検査し、改造し、強化できる形にすべきだという考えです。今回公開されたのは論文ではなく、実運用で使われてきたランタイムのコードであり、リポジトリと導入文書も同日に公開されました。
隔離の方法：エージェントごとに専用の仮想マシン
SPACE の基本単位は、独立した OS を持つ小型の仮想マシンです。エージェントが生成したコードとファイルはその中でだけ動き、中央の制御層がサンドボックスの作成、一時停止、再開、削除を管理します。注目点は二つあります。第一に、サンドボックスは信頼できないものとして扱われます。ネットワーク接続とプラットフォームが保管する認証情報はサンドボックスの外で管理され、エージェントは許可されたサービスに接続できても、認証情報そのものが作業環境に置かれることはありません。鍵は常に扉の外にある、という形です。第二に、進捗は頻繁なファイルスナップショットと環境全体のチェックポイントで保存され、変化分だけを記録するため全体を繰り返し複製しません。そのため一時停止したセッションはファイルと実行状態を保ったまま再開でき、一つのセッションを二つに分岐させて別々の方法を試すこともできます。当サイトでは以前 Perplexity が Project をロールバック可能な作業空間にした話 を取り上げましたが、SPACE が扱うのはその一段下の層、つまりコードが実際にどこで動き、暴走したときに誰が受け止めるかという問題です。
108回の脱出試行はすべて失敗、この結果をどう読むか
Perplexity が公表したセキュリティ評価では、エージェントが意図的に境界の突破を試みました。108回の試行で仮想マシンからホストへ逃げ出せたものは一つもありませんでしたが、ネットワーク制限を回避できたものはありました。Perplexity はその弱点を修正し、再検証では発見された二つの攻撃手法はいずれも成功しなかったとしています。さらに、同じ本番トラフィックで比べると、SPACE のサンドボックス作成は以前の商用事業者より3〜5倍速く、他のサンドボックス基盤で見つけた関連する弱点は各ベンダーへ通知したといいます。この数字の読み方には注意が必要です。テストの設計と実施は Perplexity 自身によるもので、件数も限られています。真剣な対抗検証を受けたことは示せても、外部監査の代わりにはなりません。オープンソース化の本当の価値は、コードが公開されたことで、第三者が自分の攻撃手法で同じ検証をもう一度回せる点にあります。
どのチームが SPACE を試す価値があるか
エージェントにコード実行能力を付けようとしているチームが第一候補です。隔離、スナップショット、認証情報の管理をゼロから作る前に、SPACE の実装と自社の不足分を見比べる価値があり、特に「認証情報をサンドボックスに入れない」「状態を復旧できる」の二点が参考になります。クラウド事業者の動きも、これが単なる披露ではないことを示しています。CoreWeave と Akamai は自社基盤で SPACE を検証し提供を始め、Crusoe もマネージド AI サービスへの組み込みを進めています。逆に、エージェントにコードを実行させない事業や、ベンダーの全面托管環境だけを使うチームは、今は静観で構いません。エージェントの競争はいまやモデルの賢さだけでなく、制御を失ったときの代償をどれだけ先に箱へ閉じ込められるかの勝負になっており、SPACE が公開したのは、その箱の設計図です。
