Perplexity gibt seine Agenten-Sandbox als Open Source frei
Perplexity stellt SPACE, die Sandbox hinter seinem Agenten Computer, unter Apache 2.0 bereit. Jede Aufgabe läuft in einer eigenen Mini-VM, Zugangsdaten bleiben draußen. Was das Werkzeug kann und was Unternehmen für eigene KI-Agenten daraus mitnehmen.
Wer KI-Agenten Code ausführen lässt, braucht einen Käfig, aus dem sie nicht ausbrechen. Perplexity hat am 15. Oktober seinen eigenen Käfig für alle geöffnet: SPACE, die Sandbox hinter dem hauseigenen Agenten Perplexity Computer, steht jetzt als Open Source unter der Apache-2.0-Lizenz bereit. Zuerst hatte Semafor darüber berichtet.
Was SPACE ist
SPACE steht für „Sandboxed Platform for Agentic Code Execution“. Jede Aufgabe eines Agenten läuft in einer eigenen Firecracker-MicroVM, also einer winzigen virtuellen Maschine mit eigenem Linux-Kernel. Firecracker ist die Virtualisierungstechnik, die Amazon für seine Serverless-Dienste entwickelt hat. Ist die Aufgabe erledigt, wird die Sandbox wieder verworfen.
Laut Perplexity steckt das System seit Juni 2026 im Produktivbetrieb von Perplexity Computer. Die wichtigsten Eigenschaften nach Herstellerangaben:
- Schneller Start: Eine neue Sandbox entsteht im Median in rund 60 Millisekunden, vorher waren es 185.
- Pausieren und Fortsetzen: Sitzungen lassen sich anhalten und wieder aufnehmen, mit laufenden Snapshots, die bis zu eine Woche zurückreichen.
- Zugangsdaten bleiben draußen: API-Schlüssel und Passwörter werden erst im Moment des Bedarfs eingespielt und laut Perplexity nie in der Sandbox selbst gespeichert. Eigene Schlüssel für die Verschlüsselung (BYOK) werden unterstützt.
Keiner der Ausbruchsversuche gelang
Laut Semafor hat Perplexity neun Spitzenmodelle gezielt angewiesen, aus der Sandbox auszubrechen. In 118 Versuchen gelang das keinem. Andere, nicht quelloffene Sandboxes sollen sich in den Tests als weniger dicht erwiesen haben, konkrete Zahlen dazu nennt der Bericht nicht. Ganz ohne Befund blieb die Prüfung aber nicht: Bei einem Red-Team-Test fielen laut Perplexity einige Schwächen bei den Netzwerkregeln auf, die inzwischen behoben seien. Das sind Herstellerangaben, eine unabhängige Prüfung steht noch aus.
Zibi Braniecki aus dem technischen Team von Perplexity beschreibt gegenüber Semafor das Problem, das SPACE lösen soll:
A lot of companies are thinking about how to build secure AI agents, and in many cases they hit a wall.
Viele Firmen wollen also sichere Agenten bauen und stoßen dabei an eine Wand. Die Cloud-Anbieter CoreWeave, Akamai und Crusoe haben laut Semafor zugesagt, SPACE ihren Kunden anzubieten.
Warum das Thema drängt
Agenten, die Code schreiben und ausführen, sind kein Laborthema mehr. Mit den Fähigkeiten wachsen die Risiken: Ein einziger manipulierter Prompt kann reichen, um eine ganze Agentenflotte zu kapern, und vergessene Zugänge machen herrenlose Agenten zum Einfallstor. Microsoft hat mit seinen Execution Containers für Windows bereits eine eigene Antwort für den Firmen-PC geliefert, Satya Nadella fordert gleich eine Notbremse für KI-Agenten.
SPACE setzt auf der Serverseite an: Was der Agent tut, passiert in einer Wegwerf-Umgebung, und die Schlüssel zu Ihren Systemen bekommt er nur kurz geliehen.
Was das für Ihr Unternehmen heißt
- Agenten-Code nie direkt auf Produktivsystemen ausführen: Ob SPACE, Container oder eine andere Lösung, jede Ausführung gehört in eine isolierte Umgebung, die nach der Aufgabe verschwindet.
- Zugangsdaten aus der Sandbox heraushalten: Das Prinzip von SPACE lässt sich überall übernehmen. Schlüssel nur kurzzeitig und mit minimalen Rechten vergeben, nie dauerhaft im Arbeitsbereich des Agenten ablegen.
- Netzwerkzugriff eng fassen: Gerade hier fand selbst Perplexity Schwächen. Legen Sie fest, welche Adressen ein Agent überhaupt erreichen darf.
- Open Source heißt nicht wartungsfrei: Eine eigene Sandbox-Plattform will betrieben, aktualisiert und überwacht werden. Für kleinere Teams kann ein Anbieter, der SPACE als Dienst betreibt, die bessere Wahl sein.
- Herstellertests einordnen: 118 erfolglose Ausbruchsversuche sind ein gutes Zeichen, aber kein unabhängiges Gutachten. Prüfen Sie vor dem Einsatz mit eigenen Tests.
Fazit
Mit SPACE wird eine Sicherheitsinfrastruktur frei verfügbar, die bisher vor allem große Anbieter für sich gebaut haben. Für Unternehmen, die eigene Agenten entwickeln, ist das ein brauchbarer Baustein und zugleich eine gute Vorlage dafür, wie Isolation und Schlüsselverwaltung aussehen sollten. Wenn Sie KI-Agenten in Ihre Abläufe bringen und dabei sauber absichern möchten, sprechen Sie mich gern an.
