Perplexity abre o código do SPACE, sandbox que isola agentes de IA em microVM

A Perplexity abriu o código do SPACE, a sandbox que isola agentes de IA enquanto eles executam comandos e alteram arquivos. O projeto foi anunciado em 15 de outubro de 2026 e já está no GitHub sob licença Apache 2.0, que permite uso comercial, segundo a empresa e o repositório oficial. É a mesma camada de isolamento que sustenta os agentes Portable Computer, da própria Perplexity.

A liberação importa porque agente que executa código deixou de ser demonstração. Eles já rodam dentro de empresas, abrindo terminal, instalando pacotes e acessando serviços internos. O risco é direto: um agente mal instruído, ou atacado por uma instrução maliciosa escondida em uma página web, pode fazer estrago no servidor de quem o hospeda.

O que é o SPACE, a sandbox de código aberto da Perplexity

SPACE é a sigla de Sandboxed Platform for Agentic Code Execution. Pela descrição do repositório, ele entrega "sandboxes de runtime plugável" para rodar código de agente ou de usuário em isolamento. Cada sandbox é uma microVM Firecracker, com sistema operacional e sistema de arquivos próprios, separada da máquina que a hospeda.

O projeto é escrito em Rust, mas quem consome não precisa ser. A integração acontece por uma API HTTP com server-sent events para streaming da saída dos comandos, o que permite plugar qualquer stack. As operações de ciclo de vida — criar, pausar, suspender e destruir — são assíncronas e devolvem um ID de operação para consulta.

O repositório descreve ainda templates que definem o ambiente inicial, snapshots de base para restauração, warm pools com sandboxes pré-inicializadas em Kubernetes, perfis configuráveis de saída de rede e tokens de anexo com escopo de sessão para acessar a saída dos processos. Há também um wrapper de compatibilidade com o E2B, para quem já usa aquele SDK. A documentação cita implantação em Kubernetes via cluster Kind, mas registra que o SPACE roda sem ele.

Credenciais ficam fora do alcance do agente

O ponto central do desenho é tratar a sandbox como ambiente não confiável. De acordo com a Perplexity, o acesso à rede e as credenciais da plataforma são gerenciados fora da fronteira da sandbox. Na prática, o agente se conecta aos serviços autorizados sem que as chaves fiquem guardadas no ambiente onde ele trabalha.

Isso ataca o roteiro de invasão mais comentado hoje: se uma instrução maliciosa convence o agente a vazar segredos, não há segredo no diretório para vazar. O controle de quem pode criar, executar, pausar e apagar máquinas fica com quem opera a plataforma, não com o modelo.

O SPACE também faz snapshots e checkpoints frequentes de arquivos, o que preserva o progresso da tarefa e permite retomar ou ramificar uma sessão em vez de reiniciar do zero.

118 tentativas de fuga, nenhuma bem-sucedida

A Perplexity publicou uma avaliação de segurança em que nove modelos de fronteira foram instruídos a escapar do ambiente. Em 118 tentativas, nenhum conseguiu sair da máquina virtual para o host, informa a empresa. Alguns contornaram restrições de rede, e essas falhas foram corrigidas, sem novas violações nos testes seguintes. Segundo a SiliconANGLE, a Perplexity afirma que, em testes com sandboxes proprietárias concorrentes, agentes conseguiram escapar de várias alternativas.

Vale a ressalva de método: os números são de avaliação feita pela própria fabricante, não por auditoria independente. O engenheiro Zibi Braniecki, da Perplexity, defendeu a abertura do código como caminho para as empresas construírem juntas as proteções de que precisam e comparou o momento ao início do trabalho de segurança nos navegadores web, quando a comunidade de desenvolvedores colaborou para viabilizar navegação e comércio seguros.

CoreWeave, Akamai e Crusoe — as três com plataformas de infraestrutura em nuvem para sistemas de IA — já implantaram o SPACE, de acordo com a reportagem. O projeto se soma a outros códigos abertos da empresa na mesma linha, como o BrowseSafe, para detectar instruções maliciosas em páginas, além do Numbat e do Bumblebee.

O que muda para quem desenvolve no Brasil

Para desenvolvedores e times de produto no país, a camada de isolamento deixa de ser algo a construir do zero ou a contratar. Quem hoje roda agente de código em contêiner comum ganha uma referência de arquitetura pronta, gratuita e com licença permissiva.

Isolamento, porém, não resolve tudo. A microVM protege o host; ela não impede que um agente com permissão legítima apague o registro errado em um banco de produção. A régua continua sendo o escopo das credenciais entregues ao agente e o perfil de rede liberado para ele.

E, agora que o código é público, o teste de fuga pode ser repetido por quem quiser. É esse escrutínio de fora, mais do que o relatório da Perplexity, que vai medir o tamanho real da proteção.