Perplexity、AIエージェント向けサンドボックスSPACEをオープンソース化

Perplexityは2026年10月15日、自社のComputerエージェントを動かしているサンドボックス基盤SPACEを、オープンソースのコードとして公開しました。コードはApache 2.0ライセンスのもとGitHubで公開されており、このライセンスは商用利用を認めています。AIエージェントにコードを実行させるチームは今後、自分で構築したり借りたりする代わりに、Perplexityが本番環境で使っているのと同じ隔離レイヤーを自前で運用できます。

Crypto Briefingによると、SPACEは「Sandboxed Platform for Agentic Code Execution」（エージェントによるコード実行のためのサンドボックス化プラットフォーム）の略です。AIエージェントとは、言語モデルを使って操作を行うプログラムのことです。たとえば、コードを書いて実行します。サンドボックスとは、そのコードが触れてはいけないものに届かないまま実行できる、隔離された空間のことです。

SPACEの機能

プロジェクトのGitHubページのREADMEは、SPACEを「隔離されたFirecracker microVMでコードを実行するためのサンドボックス基盤」と説明しています。Firecrackerは、Amazon Web Servicesが開発したオープンソースソフトウェアです。microVMと呼ばれるごく小さな仮想マシンを、1台のホスト上で並べて動かします。Techstrong.aiによると、それぞれが独自のLinuxカーネルを起動するため、内部のコードはホストマシンから切り離されます。

プログラムはHTTP APIを通じてSPACEとやり取りします。HTTP APIは、Linux環境の作成、コマンドの実行、そのライフサイクルの管理を行うためのWebインターフェースです。READMEによると、SPACEはRustで書かれています。READMEにはほかに次のものが挙げられています。

構成要素	役割
HTTP API	サンドボックスの作成、コマンドの実行、出力のストリーミング
space-admin-cli	プラットフォームを運用するためのオペレーター向けツール
E2B Compatibility Wrapper	E2B Python SDK向けに書かれたコードからSPACEを使えるようにする
ノードのウォームプール（Node warm pools）	マシンを待機させておき、サンドボックスを素早く起動する

インストールガイドは、ローカルのKindクラスターから始まります。Kindは、広く使われているコンテナー基盤であるKubernetesを、1台のコンピューター上のDocker内で動かします。アーキテクチャガイドによると、SPACEはKubernetesなしでも動作します。「incubating」と示されたスキーマのフィールドはサポート対象の契約の外にあるため、変更される可能性があります。

エージェントをどう封じ込めるか

Perplexityは7月15日のブログ投稿で初めてSPACEを紹介しました。同社は、機能、速度、セキュリティのバランスが取れた既製の選択肢がなかったため、独自のシステムを構築したと述べています。

その投稿によると、設計を支えるのは次の3つの考え方です。

• 使い捨てのマシン。 投稿には「SPACEは、必要な間だけ存在する一時的なサンドボックスを立ち上げます」とあります。サンドボックスはタスクが終わると破棄されます。
• 秘密情報は外に置く。 パスワードやアクセストークンはサンドボックスの外に保管され、必要なときにだけ渡されます。Perplexityは「侵害されたエージェントには、デフォルトでは、プラットフォームが管理する認証情報に至る経路がありません」と書いています。
• スナップショット。 ローリングスナップショットが、セッションのメモリーとファイルを最短1分ごとに保存します。セッションは一時停止、再開、複数のコピーへの分割ができます。Perplexityはこれを「本質的には組み込みのタイムマシン」と呼んでいます。

エンタープライズ顧客は、独自の暗号鍵を持ち込むこともできます。顧客が鍵を失効させると、新しいサンドボックスは起動できなくなり、保存されたデータも読めなくなります。

Perplexityが報告している数字

以下の数字はPerplexityによるもので、2つのメディアが報じたものです。外部の団体はまだ検証していません。

Lapaas Voiceによると、Perplexityのセキュリティテストでは、9つのAIモデルにサンドボックス内のroot権限が与えられました。モデルはそのうえで、ホストマシン上に保管された秘密情報に到達しようとしました。108回の試行のうち、脱出できたものは0回でした。一方、ネットワークのルールは当初それほど持ちこたえられませんでした。テスターは、DNSスプーフィングと共有IPによるルーティングでルールを回避しました。Perplexityは両方を修正し、追加のテストではどちらも通用しなかったとLapaas Voiceは伝えています。Crypto Briefingは、このレッドチーム演習の時期を2026年9月としています。

速度については、2つの報道が異なる指標を示しています。Crypto Briefingは、サンドボックスの起動時間の中央値が約60ミリ秒で、以前の185ミリ秒から短縮されたと伝えています。Lapaas Voiceによると、サンドボックスはPerplexityが以前使っていた商用プロバイダーより3倍から5倍速く起動します。Lapaas Voiceはそのプロバイダーの名前を挙げていません。

Lapaas Voiceはまた、初期の支援企業3社を挙げています。AkamaiはSPACEを自社のクラウドで提供開始し、Crusoeはマネージド AIサービスへの組み込みを進め、CoreWeaveはセットアップの手引きを公開しました。Crypto Briefingによると、Perplexityは、より広範な「Agentic Runtime Platform」の一部としてSPACEを拡張する計画です。

開発者にとっての意味

AIモデルが書いたコードを実行する製品であれば、SPACEは有料のサンドボックスサービスと比べて試せる無料の選択肢になりました。まずは1台のマシンでKindのセットアップから始めてください。起動時間とコストは、Perplexityのワークロードではなく、自分たちのワークロードで測定してください。

すでにE2BのPython SDKを使っているチームは、最も近道ができます。互換ラッパーがあるため、既存のコードをSPACEに向けて比較できます。全面的な移行を計画する前に、ラッパーがどの呼び出しに対応しているかを確認してください。

導入を決める前に、ホストを確認してください。Techstrong.aiが指摘するように、FirecrackerはLinuxに組み込まれた仮想化機能であるKVM上で動作します。そのため、SPACEを動かすマシンはKVMを利用できる必要があります。

SPACEを導入しない場合でも、認証情報の設計は取り入れてください。トークンをサンドボックスの外に置き、リクエストごとに注入すれば、乗っ取られたエージェントが盗めるものを限定できます。同じ考え方は、10月7日に一般提供が始まったMicrosoft Execution Containersにも見られます。そのシステムはWindows、macOS、Linuxのマシン上でエージェントを封じ込めるものですが、SPACEはサーバー上で多数のエージェントをまとめて動かします。

独自の攻撃テストを実施してください。Perplexityの結果はあくまで同社自身のものであり、Lapaas Voiceもはっきりとこう述べています。「これらはPerplexityが公開したテストの結果であり、SPACEがあらゆる攻撃に対して無敵であることの証明ではありません」。それらのテストではネットワークのルールが弱点だったため、まず外向きトラフィックの制限をテストしてください。