据 AI Daily Digest 10 月 18 日版（https://dev.to/hiroki-ii-ai/ai-daily-digest-october-18-2026-reflection-opens-beam-501b-anthropic-replaces-git-tsmc-rides-4d7l ），Perplexity 以 Apache 2.0 协议开源了 SPACE，即 Computer 智能体背后的沙箱平台。SPACE 全称 Sandboxed Platform for Agentic Code Execution，在 Firecracker 微虚拟机里运行智能体代码，前面套一层 HTTP API。自 7 月起它取代了商用沙箱供应商，承担每一次 Computer 会话，每天创建数百万个沙箱，同等生产流量下创建速度比旧方案快三到五倍。
安全声明值得认真对待，也必须保持警惕：Perplexity 称九家前沿模型发起的 118 次逃逸尝试没有一次成功，而这些模型在其他未开源沙箱里能够突破。早前一份已发表评估在 108 次尝试中没有发现虚拟机到宿主机逃逸，但发现了网络限制绕过，团队在发布前修复，并把同类弱点通报给竞品厂商。
自测数字为什么不能直接当结论？
必须说清楚，上述全部数字都是 Perplexity 自己的主张，不是独立审计。这恰恰是开源代码的意义：任何人都可以把代码拉下来重跑测试，而不是只能相信厂商的营销页。智能体沙箱领域过去几年充斥着厂商自报的零逃逸，一旦换一批红队或换一种逃逸路径，结论就可能翻盘。把代码交出去，等于把裁判权从厂商手里拿走。
架构上哪几个设计值得同行抄？
SPACE 把每个沙箱当作不可信实体，网络访问与平台持有的凭据都放在智能体工作环境之外：智能体可以调用授权服务，却永远拿不到密钥本身。这一设计直接回应了当下最常见的事故——智能体把 API Key 写进日志或外传。其次是频繁快照与全环境检查点，让进度在中断后得以保留，会话分支成本极低，支持暂停给人类审阅再带着状态恢复。分发走 CoreWeave、Akamai 与 Crusoe，因为多数企业会租托管沙箱，而不是自己养一支 Firecracker 集群。
开源沙箱会不会成为新的攻击面？
开源本身不制造漏洞，但它把已知架构暴露给攻击者，也暴露给修补者。对中小型智能体创业公司，直接采用经过社区检验的沙箱，比自研隔离层划算得多；对企业安全团队，下一步应当做的是拿到代码后自行设计逃逸用例，而不是把厂商的 118 次零成功写进采购尽调。当模型能力每周都在涨，沙箱的安全有效期只会越来越短，持续红队比一次性认证更重要。
微虚拟机路线为什么比容器隔离更适合智能体？
Firecracker 微虚拟机介于容器与完整虚拟机之间，启动快、开销小，又能把内核与宿主隔开，正好匹配智能体会话短命、高频创建的特点。智能体每次执行一段不可信代码，都应该拿到一个全新的隔离环境，结束即销毁，而不是在共享容器里积累状态。SPACE 把网络与凭据挪到工作环境之外的设计，也回应了容器方案最大的短板：进程内凭据一旦被脚本读到就无法收回。
普通人能从这次开源里拿走什么？
不做基础设施的开发者也能用同一份思路自查：给自己的智能体工具配置独立的短期密钥、限制出站域名、把每次执行放进隔离目录。沙箱不是大公司才需要的奢侈品，凡是让模型自己动手跑命令的场景，缺了隔离就是在赌模型永远安分。SPACE 开源之后，这类最佳实践第一次有了可以直接参考的工程实现，而不是只能从厂商白皮书上猜。
去论坛讨论
前往 silicon-agi.com 论坛 参与讨论