Un sandbox, regalado
Perplexity publicó SPACE como código abierto el 15 de octubre, bajo licencia Apache 2.0. Es la capa de contención que la empresa construyó para sus propios agentes Portable Computer, que ejecutan tareas como crear aplicaciones web, investigar productos o reservar hoteles, y ahora está en GitHub para que cualquiera lo ejecute.
El diseño es una microVM, no un contenedor. Cada sandbox es una máquina virtual Firecracker con su propio sistema operativo, y las aplicaciones la manejan mediante una API HTTP que crea entornos Linux, ejecuta comandos, recoge la salida y desmonta la máquina. SiliconANGLE detalló el resto: un plano de control que posee el operador, instantáneas y puntos de control frecuentes para revertir una sesión, y pausa, reanudación y ramificación de sesiones.
Dos decisiones pesan más que la virtualización. El sandbox se trata siempre como no fiable, y tanto el acceso a la red como las credenciales de plataforma se guardan fuera de él: un agente puede llegar a un servicio para el que está autorizado sin ver nunca el secreto que lo autoriza.
Las cifras, y la distancia entre ellas
Perplexity sometió el sandbox a un equipo rojo indicando a nueve modelos de frontera que escaparan. Semafor y SiliconANGLE informan ambos de 118 intentos sin ninguna fuga exitosa. El propio informe de Perplexity, según el resumen de MarkTechPost, cuenta 0 de 108 ejecuciones que alcanzaran el secreto alojado en el anfitrión.
Las dos cifras no se han conciliado públicamente. Podrían describir partes distintas de la misma evaluación —el ejercicio completo frente a la prueba concreta del secreto del anfitrión—, pero el anuncio no lo dice y nadie ajeno a la empresa puede comprobarlo. Todo lo aquí recogido procede del proveedor: Perplexity diseñó el sandbox, escribió las instrucciones de ataque, puntuó los resultados y los publicó. Ningún evaluador independiente ha repetido el ejercicio.
La cifra más útil es la que registra un fallo. En las restricciones de red, 11 de 54 ejecuciones lograron sortearlas antes de que Perplexity corrigiera las debilidades, y cuatro de los nueve modelos encontraron un camino. La empresa afirma que tras las correcciones ningún modelo logró una evasión verificada en las nuevas pruebas. Una afirmación sobre contención vale más cuando el registro publicado incluye la parte que falló.
La comparación que no se puede comprobar
Perplexity sostiene además que esos mismos modelos sí escaparon de sandboxes comerciales que no ha publicado como código abierto. No ha nombrado esos productos ni difundido las ejecuciones, de modo que la afirmación queda fuera del alcance de cualquier verificación, y es una afirmación sobre competidores hecha por una empresa que vende la alternativa. Conviene leerla como marketing hasta que lleguen los detalles.
CoreWeave, Akamai y Crusoe planean ofrecer SPACE a sus clientes, lo que importa más que la prueba: tres proveedores de infraestructura adoptando una misma capa de contención es la forma en que se fija un estándar de facto.
Barreras en lugar de alineamiento
Zibi Braniecki, miembro del equipo técnico de Perplexity, dijo a Semafor que la empresa se ha centrado en hacer las barreras más duras y fiables en vez de trabajar el alineamiento de los modelos, que es donde ponen el esfuerzo la mayoría de los laboratorios de frontera. Comparó la tarea con los primeros años de la web, cuando los competidores construyeron barreras compartidas para la navegación y el comercio seguros, y dijo que el sector piensa hoy demasiado en pequeño.
El argumento tiene su lógica. El trabajo de alineamiento intenta que un modelo no quiera escapar; un sandbox da por hecho que lo intentará. La segunda hipótesis sobrevive a un modelo que no se ha entrenado uno mismo, que es la situación de toda empresa que ejecuta el agente de otro.
SPACE no está solo. Nvidia publicó OpenShell el mes pasado dentro de su Open Agent Safety Platform, y SiliconANGLE informa de que tampoco se registraron fugas. Perplexity ha liberado además BrowseSafe, Numbat y Bumblebee.
Qué vigilar
La prueba será si alguien ajeno a Perplexity ejecuta la batería de fuga y publica lo que encuentre, y si las cifras de 118 y 108 reciben una explicación. Hasta entonces, el resumen honesto es que un sandbox ampliamente desplegado ya se puede inspeccionar, que es justamente el sentido de publicarlo.
