Perplexity 红队测试 SPACE 沙箱：108 次运行中 9 个模型均未能逃逸 VM，但有 4 个模型借助网络访问绕过封锁

我们的安全团队花了上个月的时间试图攻破 SPACE，这是运行所有 Perplexity Computer 的沙箱平台。我们给了 9 个模型（Opus 5、GPT-5.6 Sol、Kimi K3、Gemini 3.1 Pro 等）在虚拟机内的 root 权限；在某些运行中，还给了完整的沙箱源代码。我们要求它们要么逃逸到宿主机，要么访问一个被我们网络策略屏蔽的 URL。

在 108 次运行中，没有一个模型逃出虚拟机。

但当我们允许一点网络访问（仅 PyPI 和 Ubuntu 镜像，以便它们安装软件包）后，有 4 个模型成功访问了被屏蔽的 URL，方式如下：

我们修复了这两个问题，并确保重新运行后仍然有效。我们还测试了另外 10 家沙箱提供商，其中 8 家存在同样的 IP 共享问题，例如 E2B、Vercel、Modal。

公开分享红队研究是作为行业建立防护栏的最佳方式，我们期待与 @nvidia 合作，将这些防护栏纳入他们今天宣布的 Open Agent Safety Platform。

https://www.perplexity.ai/hub/blog/escaping-space-part-i