AI

Perplexity 开源 SPACE：基于 Firecracker 的 AI 代理安全沙盒

Perplexity 将其内部使用的 SPACE 沙盒开源，提供基于 Firecracker 微虚拟机的隔离执行环境，帮助开发者安全运行代码或浏览代理。本文详解其技术实现、性能提升与实际落地价值。

AI观察

• 5 min read
Perplexity 开源 SPACE：基于 Firecracker 的 AI 代理安全沙盒

概述：Perplexity SPACE 为 AI 代理提供微虚拟机级别的安全隔离

Perplexity 最近在 GitHub 上以 Apache 2.0 许可证开源了 SPACE（Sandboxed Platform for Agentic Code Execution），这是一套为每个 AI 任务分配独立 Firecracker 微虚拟机（microVM）的沙盒系统。它将凭证与出站流量的控制置于 VM 之外，实现了细粒度的权限管理，并通过 HTTP API 与服务器端事件（SSE）进行交互，适配 Linux x86_64 主机。

技术背景：为何选择 Firecracker 与微虚拟机

Firecracker 由 AWS 开发，专为无服务器计算和容器化工作负载设计，具备启动快、资源占用低、强隔离等特性。相比传统容器，microVM 通过 KVM 提供硬件级别的虚拟化，能够更好防止恶意代码逃逸宿主系统。Perplexity 将这一技术引入 AI 代理执行环境，解决了过去在共享容器中出现的凭证泄露与网络滥用风险。

核心组件

  • Rust 代码库（0.8.0 版）：提供高性能的 VM 管理与 API 实现。
  • HTTP API + Server‑Sent Events：支持创建、执行、实时流式返回输出。
  • 文件系统模板：预置常用工具与依赖，用户可在此基础上自定义。
  • 部署方式：支持直接模式或通过 Kind（Kubernetes）集群运行，需 Linux、KVM、/dev/kvm、btrfs 与 Docker 环境。

性能提升：从 185 ms 降至 60 ms 的创建延迟

在 Perplexity 生产环境中，使用 SPACE 后单个 microVM 的创建延迟从原来的 185 毫秒显著下降到 60 毫秒，约提升 68%。这主要得益于 Rust 原生的低开销以及 Firecracker 极快的启动时间。对于需要频繁创建执行环境的代码生成或网页浏览代理而言，这种延迟削减直接转化为更流畅的用户体验。

安全性实测：零逃逸、网络策略有效性

Perplexity 对 9 种前沿大模型共计 108 次 VM‑to‑host 的逃逸尝试进行测试，全部失败，证明了 microVM 隔离的可靠性。早期版本曾出现 11 次在部分网络运行时代理绕过出站策略的情况，随后通过强化 egress 过滤规则得到修复。整体来看，SPACE 提供了业界罕见的“几乎零逃逸”安全保障。

对开发者的意义：可自托管的生产级隔离层

对于构建代码写作、网页抓取或多步骤推理的 AI 代理团队，SPACE 提供了一套即插即用的安全执行框架。开发者只需在符合条件的 Linux 主机上部署，即可获得与 Perplexity 同等的隔离效果，无需再依赖第三方云函数或自行实现复杂的容器安全策略。

使用场景示例

  • **代码生成代理**：在微VM 中执行生成的代码，防止恶意代码影响主机。
  • **网页浏览代理**：限制网络访问，仅允许访问白名单域名，防止信息泄露。
  • **多模型协同**：不同模型的任务分别在独立 microVM 中运行，互不干扰。

部署指南概览

下面简要介绍在 Linux x86_64 主机上部署 SPACE 的步骤：

  1. 确保系统启用 KVM 并加载 /dev/kvm，安装 btrfs 与 Docker。
  2. 克隆 GitHub 仓库并切换至 0.8.0 发行版：
  3. git clone https://github.com/perplexity-ai/space.git && cd space && git checkout v0.8.0
  4. 使用 Cargo 编译 Rust 项目：
  5. cargo build --release
  6. 根据需求选择直接模式或在 Kind 集群中启动：
  7. ./target/release/space serve --mode direct
  8. 通过 HTTP POST /v1/vm 创建微VM，随后使用 SSE 获取实时输出。

完整的 API 文档与模板文件均已在仓库的 docs/ 目录中提供，开发者可根据业务需求自行扩展文件系统或自定义网络策略。

行业影响与未来展望

随着 AI 代理在企业级应用中的渗透，安全执行环境成为制约其落地的关键瓶颈。Perplexity 的 SPACE 开源，为行业提供了一个可审计、可自托管的参考实现，可能会推动更多企业采用微虚拟机作为默认的安全层。未来，随着 Firecracker 社区的持续优化以及 Rust 生态的成熟，类似的沙盒方案有望进一步降低资源消耗，实现更高的并发度。

结语：行动建议

如果你正计划为自己的 AI 代理项目引入安全隔离，建议立即评估 SPACE 是否满足你的部署环境与性能需求。通过自托管的方式，你可以完全掌控凭证与网络策略，降低因第三方服务失效或安全漏洞带来的风险。同时，结合本篇提供的部署步骤，快速在本地或私有云上搭建起可靠的执行平台，为后续的产品化奠定坚实基础。