Perplexity 发布 SPACE 沙箱红队研究第二篇：12 个模型均未逃出虚拟机，网络绕过任务中专攻安全的 GPT-5.6 Cyber 三战全败、通用版 Sol 三战全胜，CTF 式题目会把 Agent 带偏

核心背景与行业痛点

Agent 能在云端虚拟机里随意执行代码以后，沙箱就成了最后一道防线。Perplexity 的 SPACE 默认 Agent 可能怀有恶意，并且已经拿到虚拟机的 root 权限。第一篇研究测了 9 个模型，有 4 个利用部分网络访问绕过了限制，第三方沙箱里 10 个有 8 个存在类似问题，均已按负责任披露流程通知厂商。第二篇加入 3 个更新的模型，并把重点放在分析 Agent 的具体行为上。

架构亮点与底层机制

SPACE 基于 Firecracker 微虚拟机，设备模型很精简，攻击面小。研究发现，CTF 夺旗式题目会让模型满盘搜寻凭证字符串，花在虚拟化层上的精力大多不到 4%，三个 GPT 模型也只有 18%–22%。网络绕过的成功手法有两种：一是 DNS 欺骗，需要从源码推出网关地址；二是利用 CDN 共享 IP，借 Fastly 上的服务中转，或者用截图服务加 OCR 读出 flag。

权威 Benchmark 与实测跑分对比

以下均为厂商口径。有源码、有部分网络的设置下，Opus 5.0、Opus 5.5、Mythos 5.1、GPT-5.6 Sol 和 GPT-6 Astra 三次全部成功。Sol 能成功，是因为它先理清了网络拓扑，找到 net.rs 里的 vpeer_ip；Cyber 一直盯着解析器漏洞，执行了 300 多条命令也没找到。由 6 个模型担任评委的打分中，Astra 和 Mythos 5.1 并列最高，Grok 4.20 最低。Perplexity 强调样本量有限，不能据此断定专项训练有害。

开发者实战落地与开箱指南

如果你在自建 Agent 沙箱：出站策略要校验 SNI、Host 与放行域名三者一致；DNS 应答要防伪造；Agent 可以 root 的环境里不要放能推出网关地址的信息。做红队评测时，提示里要写明要测的安全边界，不要只让模型找 flag；看到「成功」要独立验证，不能只信 Agent 自己的报告。