Perplexity 已将支撑 Perplexity Computer 全部任务的沙箱平台 SPACE 开源，代码以 Apache 2.0 许可发布在 GitHub 上。据 MarkTechPost 报道，SPACE 全称为 Sandboxed Platform for Agentic Code Execution，面向需要执行代码的智能体应用。

按该报道，SPACE 为每个智能体任务分配一台独立的 Firecracker 微虚拟机，各自拥有客户机内核。智能体可以在沙箱内以 root 身份执行命令、安装软件包和调用服务，主机则留在客户机控制范围之外。凭证不进入客户机，由主机侧的网络网关在每条出站连接上执行出站策略；据 Perplexity 7 月的工程文章，凭证在网络层注入，凭证存储提供分级作用域、速率限制和审计日志。系统分为四部分：以 PostgreSQL 为后端的 API、控制器、工作服务和数据平面，工作服务管理虚拟机、网络、卷、模板与凭证，每个根文件系统由 btrfs 写时复制生成。

代码库以 Rust 编写，公开基线版本为 0.8.0，对外提供 HTTP API 和服务器发送事件（SSE）流式输出，模板提供起始文件系统。运行环境要求 Linux x86_64 主机并具备 KVM、/dev/kvm、btrfs 与 Docker，可在本地以 Kind（Kubernetes）或 direct 模式启动，不支持 macOS。

性能方面，报道称生产环境中沙箱创建延迟中位数从此前供应商的 185 毫秒降至 60 毫秒，第 90 百分位从 447 毫秒降至 89 毫秒。沙箱有运行、暂停、挂起和删除四种状态：暂停时虚拟机内存驻留在工作节点上，不构成持久快照；挂起时对内存、运行时状态和根文件系统做快照并释放活跃资源；默认空闲 6 小时后自动挂起。Kubernetes 部署使用已启动沙箱的预热池加快创建，单节点部署改用基础快照。Perplexity 称 Computer 的会话 100% 运行在 SPACE 上。

Perplexity 在《Escaping SPACE: Part I》中公布了红队测试结果：9 个前沿模型在客户机内获得 root 权限，覆盖 2 项任务和 4 种设置，共 216 次运行。108 次沙箱逃逸尝试均未触及主机侧密钥，54 次无网络运行无一绕过策略；在部分网络设置下，修复前 54 次运行中有 11 次成功绕过出站策略，4 个模型找到了路径，分别是 Claude Opus 5.0、GPT-5.6 Sol、GPT-5.6 Cyber 和 Kimi K3，攻击手法为 DNS 欺骗和共用 CDN IP 地址。Perplexity 随后通过 nftables 增加源地址校验，并让网关终结 TLS、同时校验 SNI 与 HTTP host 是否在白名单内，复测中没有模型再产生经验证的绕过。同一团队还测试了 10 个第三方平台，其中 8 个至少出现过一次网络策略绕过，Perplexity 已向每个受影响厂商披露结果。