Perplexity 发布 SPACE 沙箱：给 AI 智能体装上安全「时光机」

放手让 AI 替你写代码、改文件、查邮件，最让人提心吊胆的不是它算得对不对，而是它手里攥着的账号密码会不会泄露，或者在后台把你的系统搞得一团糟。

Perplexity 正式推出了自研的 AI Agent 沙箱平台 SPACE，专门给旗下的智能体产品 Computer 提供底层运行环境。简单来说，它就像一个阅后即焚的操作间：Agent 要干活时瞬间拉起一台轻量虚拟机，活干完了，整个虚拟环境连同里面的临时数据直接物理销毁。

在很多现有方案里，安全、功能和效率往往只能三选二。要么隔离做得好但密钥直接裸奔在环境里，要么适合跑短任务但一旦涉及几小时的长流程就会丢掉上下文。Perplexity 用 10 周时间搞出来的这套架构，核心就是要打破这个三角僵局。

密码绝不进沙箱，还给 AI 装了个时间机器

SPACE 最硬核的设计在于对凭证的防守。平时大家用 Agent 调 Google 账户这类第三方服务，账号密钥通常得放进运行环境里，一旦模型被恶意提示词注入或者被攻破，密码就全成了战利品。

在 SPACE 里，凭证从始至终不会进入沙箱内部。当 Agent 需要临时登录外部服务时，节点服务只在发起请求的精准瞬间，从外部完成鉴权注入。就算沙箱里的环境被彻底打穿，黑客也拿不到平台托管的任何凭证。

最底层的执行单元是 Firecracker 微型虚拟机（microVM），每个任务都有自己完全独立的操作系统，既影响不到宿主机，也碰不到边上跑着的其他任务。沙箱里唯一的对外通信管道是一个叫 Space Daemon 的守护进程，专门负责接收暂停、继续和快照指令。

针对那种要跑好几天的大任务，SPACE 没有让单台机器一直硬扛，而是采用了滚动快照技术。系统最频繁可以每分钟给运行中的内存和文件拍一次照，支持随时暂停、恢复，甚至分叉出新的分支。用户中途离开电脑，一周后再回来，Agent 依然能从记忆点完全无缝地接力工作。

除了云端多租户隔离，这套系统还支持自带密钥加密（BYOK），企业一旦吊销密钥，不仅新沙箱无法启动，存量加密数据也立即无法解密。它甚至能打包进企业机房，在完全断网的离线环境下本地运行。

为什么重要

我们认为，AI 竞争的重心正在从谁的模型智商更高，转向谁能让模型在真实世界里安全、稳定地干重活。Perplexity 并没有继续采购市面上的通用容器方案，而是自己造底层基础设施，这一步走得相当狠，也相当聪明。

对普通用户和开发者来说，最大的价值是信任门槛的降低。以往谁敢把核心文件和授权密钥托付给一个不知底细的自动化脚本？SPACE 的临时沙箱加瞬时凭证注入机制，让使用自动化办公时的风险被圈定在极小范围内，再加上一周内随时回溯的快照，等于给漫长的自动化任务上了双保险。

更值得关注的是工程性能。官方公布的数据显示，这套系统在过去一周内已经抗住了数百万次沙箱创建和数千万次重连，而且完全对底层硬件解耦。在 NVIDIA Vera CPU 上的早期测试里，工作流速度提升了 1.5 倍，并发启动提速接近 1.9 倍。

隐患同样显而易见。越是精细的状态抓取和外部鉴权代理，对网络网关和服务稳定性的要求就越高，一旦控制面或调度管道出现延迟，用户体验就会大打折扣。但这无疑给全行业提了个醒：没有底层操作系统级别的安全重构，真正的全自主 Agent 永远只能停留在玩具阶段。