Perplexity 开源核心沙盒引擎 SPACE：基于 Rust 与 Firecracker 微虚拟机，在 VM 边界外硬隔离凭证与外发流量

核心背景与行业痛点

随着 Coding Agent 与通用计算机操作智能体（如 Perplexity Computer、Claude Code、OpenHands）全面接管代码执行、Shell 命令与第三方 API 调用，如何在多租户云端安全运行不受信任的智能体生成代码，成为基础设施团队头号安全噩梦。传统方案存在两大致命软肋：其一，普通 Docker 容器共享宿主机内核，难以抵御内核级容器逃逸；其二，许多智能体框架直接将用户的 GitHub Token、云厂商私钥以环境变量形式注入沙盒内部，一旦智能体遭遇间接提示词注入（Indirect Prompt Injection），恶意脚本即可轻易读取环境变量并将密钥外发泄密。

架构亮点与底层机制

为彻底解决智能体代码执行的隔离性与凭证安全，Perplexity 将其内部生产环境锤炼成熟的 SPACE（Sandboxed Platform for Agentic Code Execution） 以 Apache 2.0 协议完全开源：

1. 任务级独立 Firecracker microVM 硬件虚拟化：底层基于 Rust 高性能实现，默认支持为每一个独立的智能体任务动态拉起专属的 AWS Firecracker 微型虚拟机（同时支持可插拔切换其它轻量级运行时），提供 KVM 硬件级内存与内核强隔离，兼顾百毫秒级极速冷启动；
2. VM 边界外凭证管控与出站流量拦截（Out-of-VM Credential & Egress Control）：这是 SPACE 最核心的安全架构创新——真实的敏感 API 凭证从不进入虚拟机内部内存或环境变量，而是由位于 VM 外部的宿主机安全代理（Host-side Proxy）统一持有。所有来自 VM 内部智能体代码的出站网络请求（Outbound Traffic）均在 VM 边界外接受白名单策略审计与透明凭证代填，即便沙盒内代码被完全攻陷也无法读取或外传原始密钥。

权威 Benchmark 与实测跑分对比

SPACE 已在 Perplexity 生产集群中经受了高并发长程智能体任务的严苛实战检验：

• 支撑 Perplexity Computer 全量生产流量：作为 Perplexity Computer 的默认执行底座，每天稳定调度海量并发 microVM 实例，实现零凭证泄露事故；
• 开源社区极速破千星：仓库 perplexityai/SPACE 以宽松的 Apache 2.0 许可证 放出后迅速引爆 AI 基础设施圈，短短数小时内 GitHub Star 数即突破 1,130+。

开发者实战落地与开箱指南

企业与独立开发者现可直接拉取源码构建自有高安全等级 Agent 执行云（https://github.com/perplexityai/SPACE）：

• 快速部署与集成：在支持 /dev/kvm 的 Linux 裸金属或嵌套虚拟化节点上克隆仓库 git clone https://github.com/perplexityai/SPACE，使用 Cargo 编译后即可作为 OpenHands、LangGraph 或内部 Coding Agent 的远程代码执行后端；
• 零信任凭证注入最佳实践：切勿再向 Agent 容器内直接传入 OPENAI_API_KEY 或 GITHUB_TOKEN，应全面迁移至 SPACE 的 VM 外部出站网关模式，按目标域名动态挂载鉴权 Header。