Perplexity开源SPACE沙箱平台：为每个AI任务提供独立微VM

Perplexity 近日宣布开源其内部沙箱平台 SPACE，该平台用于运行 Perplexity Computer 中的每一个任务。根据官方推文，SPACE 为每个 agent 任务分配独立的 Firecracker 微虚拟机（microVM），并从虚拟机外部统一控制凭据与出站流量。项目已采用 Apache 2.0 许可证开放源代码。

SPACE 是什么：任务级隔离的沙箱基础设施

SPACE 并非一个面向终端用户的产品，而是 Perplexity 在构建 Computer 功能时沉淀出的底层执行环境。它的核心设计只有一句话：每个任务一个微VM。

传统 agent 执行环境常采用进程级或容器级隔离，多个任务共享同一内核或网络栈。SPACE 选择 Firecracker microVM，意味着每个任务拥有独立的内核与虚拟化边界，任务之间在硬件抽象层就被隔开。这一选择直接提升了故障隔离与安全边界——一个任务中的恶意代码或异常行为，难以横向影响同一主机上的其他任务。

据官方描述，该平台已在 Perplexity Computer 中实际运行每一个任务，说明它经历了真实生产负载的检验，而非实验室原型。

Firecracker 微虚拟机（microVM）是一种基于 KVM 的轻量级虚拟化方案，由 AWS 开源。它并非传统意义上的完整虚拟机，而是裁剪了不必要的设备模拟，仅保留运行容器所需的最小功能集，因此能将启动时间压缩到百毫秒级、单实例内存开销降至数 MB。每个 microVM 拥有独立的内核，通过 virtio 设备与宿主机通信，并依赖 jailer 机制进行资源与权限约束。与容器共享宿主机内核不同，microVM 在硬件虚拟化层提供隔离边界，使不可信代码更难突破到宿主机或其他租户。Firecracker 最初为 AWS Lambda 和 Fargate 设计，现已成为多租户安全执行不可信负载的常见选择。

安全架构的关键：凭据与流量控制在 VM 之外

SPACE 更值得关注的细节在于其安全模型：凭据管理和出站流量控制都在虚拟机外部完成。

这意味着 agent 在 VM 内部执行代码时，并不直接持有长期有效的密钥。凭据由外部控制面注入或代理，出站请求也经过外部策略层。这种"数据面与控制面分离"的思路，与云原生安全中的最小权限原则一致：即使 VM 内的 agent 被 prompt injection 操纵，攻击者能拿到的也只是受控的短期通道，而非裸露的 API key。

对于正在构建 agent 产品的团队而言，这一设计提供了可参考的范式——安全边界不应只依赖模型自身的判断，而应下沉到基础设施层。

提示注入（prompt injection）是指攻击者通过精心构造的输入，诱导大语言模型偏离原定指令，执行本不应执行的操作。在 agent 场景中，模型往往被赋予调用工具、访问 API 或读写文件的能力，一旦被注入，攻击者可能借此窃取凭据、发起未授权请求或横向移动。由于模型本身难以可靠区分指令与数据，单纯依赖模型判断来防御并不可靠。业界因此主张将安全边界下沉到基础设施层，例如限制 agent 可访问的网络出口、使用短期令牌替代长期密钥、在外部代理层实施策略校验，从而在模型被操纵时仍能约束实际影响范围。

为什么选择 Firecracker

Firecracker 是 AWS 开源的轻量级虚拟化技术，最初为 Lambda 和 Fargate 设计，以启动快、内存开销低著称。SPACE 基于它构建任务沙箱，在隔离强度与调度效率之间取了折中。

相比传统虚拟机，microVM 的启动时间通常在百毫秒级，足以支撑高频创建销毁的任务型负载；相比容器，它保留了更强的隔离性。对于需要执行不可信代码的 agent 场景，这一组合较为务实。

容器与虚拟机在隔离强度上存在本质差异：容器共享宿主机内核，一旦内核存在漏洞或配置不当，逃逸风险较高；传统虚拟机隔离更强但启动慢、开销大。microVM 试图在两者之间取得平衡——它保留硬件虚拟化边界，同时将启动时间和资源占用压缩到接近容器的水平。对于 agent 任务这类需要频繁创建销毁、且执行代码不可信的场景，microVM 既能提供足够强的隔离，又不会因调度延迟拖累任务吞吐，因而成为务实的选择。

Apache 2.0 开源意味着什么

SPACE 以 Apache 2.0 许可证发布，允许商业使用、修改与再分发。对生态而言，这降低了团队自建 agent 沙箱的门槛：可以直接复用其架构思路，或在其基础上适配自己的云环境。

补充一点，开源的是沙箱平台本身，而非 Perplexity Computer 的完整产品逻辑。对于想要研究"agent 如何安全执行代码"这一问题的开发者，SPACE 提供了一个来自生产环境的参考实现。

Apache 2.0 是一种宽松型开源许可证，允许用户自由使用、修改、再分发软件，包括用于商业目的，且不要求衍生作品以相同许可证公开。它包含明确的专利授权条款，能在一定程度上保护使用者免受专利诉讼。与 GPL 等 copyleft 许可证不同，Apache 2.0 不强制开源修改后的代码，因此对企业集成较为友好。对于基础设施类项目，这一许可证降低了采用门槛，有利于形成围绕该项目的工具链和社区生态。

对 agent 基础设施赛道的信号

agent 产品的竞争正在从模型能力向执行环境延伸。任务能否安全、可审计地运行，凭据如何管理，出站流量如何约束，这些问题正成为产品落地的关键。Perplexity 将内部基础设施开源，既是对自身技术栈的展示，也在推动一套可复用的工程实践。对于关注 AI agent 安全与基础设施的团队，SPACE 值得跟进研究。

注：本文基于 Perplexity 官方推文及公开技术信息编写，未包含未在原文中出现的具体性能数据。