Uma sandbox, oferecida
A Perplexity publicou o SPACE em código aberto a 15 de outubro, sob licença Apache 2.0. É a camada de contenção que a empresa construiu para os seus próprios agentes Portable Computer, que executam tarefas como criar aplicações web, pesquisar produtos e reservar hotéis, e está agora no GitHub para qualquer pessoa executar.
O desenho é uma microVM, não um contentor. Cada sandbox é uma máquina virtual Firecracker com o seu próprio sistema operativo, e as aplicações controlam-na por uma API HTTP que cria ambientes Linux, corre comandos, recolhe a saída e desmonta a máquina. O SiliconANGLE descreveu o resto: um plano de controlo detido pelo operador, instantâneos e pontos de controlo frequentes para reverter uma sessão, e pausa, retoma e ramificação de sessões.
Duas decisões pesam mais do que a virtualização. A sandbox é sempre tratada como não fidedigna, e tanto o acesso à rede como as credenciais de plataforma ficam fora dela — um agente consegue chegar a um serviço a que está autorizado sem nunca ver o segredo que o autoriza.
Os números, e a distância entre eles
A Perplexity submeteu a sandbox a uma equipa vermelha, instruindo nove modelos de fronteira a escapar. O Semafor e o SiliconANGLE noticiam ambos 118 tentativas sem nenhuma fuga bem-sucedida. O próprio relatório da Perplexity, tal como resumido pelo MarkTechPost, conta 0 em 108 execuções a alcançar o segredo do lado do anfitrião.
Os dois números não foram conciliados publicamente. Podem descrever partes diferentes da mesma avaliação — todo o exercício contra o teste específico do segredo do anfitrião — mas o anúncio não o diz, e ninguém fora da empresa o pode verificar. Tudo aqui é reportado pelo fornecedor: a Perplexity desenhou a sandbox, escreveu os comandos de ataque, pontuou os resultados e publicou-os. Nenhum avaliador independente repetiu o exercício.
O número mais útil é o que regista uma falha. Nas restrições de rede, 11 de 54 execuções produziram um contorno antes de a Perplexity corrigir as fragilidades, e quatro dos nove modelos encontraram caminho. A empresa afirma que, após as correções, nenhum modelo produziu um contorno verificado nos novos testes. Uma promessa de contenção vale mais quando o registo publicado inclui a parte que cedeu.
A comparação que não se pode verificar
A Perplexity afirma ainda que os mesmos modelos escaparam de sandboxes comerciais que não abriu. Não nomeou esses produtos nem publicou as execuções, pelo que a afirmação fica fora do alcance de qualquer verificação, e é uma afirmação sobre concorrentes feita por uma empresa que vende a alternativa. Deve ler-se como marketing até chegarem os detalhes.
CoreWeave, Akamai e Crusoe planeiam oferecer o SPACE aos seus clientes, o que importa mais do que o teste: três fornecedores de infraestrutura a adotar uma mesma camada de contenção é como se fixa um padrão.
Barreiras em vez de alinhamento
Zibi Braniecki, membro da equipa técnica da Perplexity, disse ao Semafor que a empresa se concentrou em tornar as barreiras mais duras e fiáveis em vez de trabalhar o alinhamento dos modelos, onde a maioria dos laboratórios de fronteira põe o esforço. Comparou a tarefa aos primeiros anos da web, quando concorrentes construíram barreiras partilhadas para navegação e comércio seguros, e disse que o setor pensa hoje em pequeno demais.
O argumento tem lógica. O trabalho de alinhamento procura que um modelo não queira escapar; uma sandbox parte do princípio de que vai tentar. O segundo pressuposto sobrevive a um modelo que não se treinou, que é a situação de qualquer empresa a correr o agente de outra.
O SPACE não está sozinho. A Nvidia lançou o OpenShell no mês passado como parte da sua Open Agent Safety Platform, e o SiliconANGLE indica que também aí não se registaram fugas. A Perplexity abriu ainda o BrowseSafe, o Numbat e o Bumblebee.
O que observar
O teste será se alguém de fora da Perplexity corre a bateria de fuga e publica o que encontrar, e se os números 118 e 108 recebem explicação. Até lá, o resumo honesto é que uma sandbox amplamente usada passou a ser inspecionável, que é precisamente o sentido de a publicar.
