Un bac à sable, offert
Perplexity a publié SPACE en open source le 15 octobre, sous licence Apache 2.0. C’est la couche de confinement que l’entreprise a bâtie pour ses propres agents Portable Computer, qui créent des applications web, étudient des produits ou réservent des hôtels, et elle est désormais sur GitHub à la disposition de tous.
La conception repose sur une microVM, pas un conteneur. Chaque bac à sable est une machine virtuelle Firecracker dotée de son propre système d’exploitation, pilotée par une API HTTP qui crée des environnements Linux, exécute des commandes, récupère les sorties et détruit la machine. SiliconANGLE décrit le reste : un plan de contrôle détenu par l’exploitant, des instantanés et points de reprise fréquents permettant de revenir en arrière, et la mise en pause, la reprise et le branchement des sessions.
Deux choix comptent plus que la virtualisation. Le bac à sable est toujours considéré comme non fiable, et l’accès réseau comme les identifiants de plateforme sont conservés à l’extérieur : un agent atteint un service auquel il a droit sans jamais voir le secret qui lui en donne le droit.
Les chiffres, et l’écart entre eux
Perplexity a soumis le bac à sable à une équipe rouge en demandant à neuf modèles de pointe de s’en échapper. Semafor et SiliconANGLE font tous deux état de 118 tentatives sans aucune évasion réussie. Le rapport de Perplexity lui-même, tel que résumé par MarkTechPost, compte 0 exécution sur 108 ayant atteint le secret situé côté hôte.
Les deux chiffres n’ont pas été rapprochés publiquement. Ils décrivent peut-être des portions différentes de la même évaluation — l’exercice complet face au test précis du secret hôte — mais l’annonce ne le dit pas, et personne hors de l’entreprise ne peut le vérifier. Tout ici vient du fournisseur : Perplexity a conçu le bac à sable, rédigé les invites d’attaque, noté les résultats et les a publiés. Aucun évaluateur indépendant n’a refait l’exercice.
Le chiffre le plus utile est celui qui consigne un échec. Sur les restrictions réseau, 11 exécutions sur 54 ont produit un contournement avant que Perplexity ne corrige les failles, et quatre des neuf modèles ont trouvé une voie. L’entreprise affirme qu’après correction aucun modèle n’a produit de contournement vérifié lors des nouveaux tests. Une promesse de confinement vaut davantage quand le relevé publié inclut la partie qui a cédé.
La comparaison invérifiable
Perplexity affirme également que ces mêmes modèles se sont échappés de bacs à sable commerciaux qu’elle n’a pas ouverts. Elle n’a nommé ni ces produits ni publié les exécutions : l’affirmation échappe donc à toute vérification, et elle vise des concurrents de la part d’une entreprise qui vend l’alternative. À lire comme du marketing jusqu’à parution des détails.
CoreWeave, Akamai et Crusoe prévoient de proposer SPACE à leurs clients, ce qui pèse plus que le test : trois fournisseurs d’infrastructure adoptant une même couche de confinement, c’est ainsi qu’un standard s’installe.
Des garde-fous plutôt que de l’alignement
Zibi Braniecki, membre de l’équipe technique de Perplexity, a déclaré à Semafor que l’entreprise a choisi de rendre les garde-fous plus solides et plus fiables plutôt que de travailler l’alignement des modèles, où la plupart des laboratoires de pointe concentrent leurs efforts. Il a comparé le chantier aux débuts du web, quand des concurrents ont bâti des garde-fous communs pour la navigation et le commerce sécurisés, et estimé que le secteur voit aujourd’hui trop petit.
L’argument tient. Le travail d’alignement cherche à faire qu’un modèle ne veuille pas s’échapper ; un bac à sable postule qu’il essaiera. La seconde hypothèse survit à un modèle qu’on n’a pas entraîné soi-même, c’est-à-dire à la situation de toute entreprise exécutant l’agent d’un tiers.
SPACE n’est pas seul. Nvidia a publié OpenShell le mois dernier au sein de sa plateforme Open Agent Safety, et SiliconANGLE indique qu’aucune évasion n’y a été constatée non plus. Perplexity a aussi ouvert BrowseSafe, Numbat et Bumblebee.
Ce qu’il faut surveiller
L’épreuve sera de voir si quelqu’un hors de Perplexity exécute la suite d’évasion et publie ses résultats, et si les chiffres de 118 et 108 reçoivent une explication. D’ici là, le résumé honnête est qu’un bac à sable largement déployé devient inspectable, ce qui est précisément l’intérêt de le publier.
