Quando un agente di intelligenza artificiale esegue codice, consulta servizi esterni o utilizza credenziali per accedere ad applicazioni aziendali, la sicurezza delle sue operazioni dipende anche dall’infrastruttura che ne controlla l’ambiente di esecuzione. Perplexity ha deciso di rendere open source SPACE (Sandboxed Platform for Agentic Code Execution), la tecnologia sviluppata per gestire gli ambienti isolati di Perplexity Computer, il servizio che utilizza agenti AI per svolgere attività complesse attraverso software, dati e strumenti digitali.
Disponibile su GitHub con licenza Apache 2.0, SPACE consente agli sviluppatori di creare ambienti nei quali gli agenti possono installare programmi, elaborare documenti ed eseguire codice, mantenendo separati i processi dalle risorse del sistema che li ospita. Alla virtualizzazione si affiancano meccanismi per controllare le connessioni di rete, proteggere le credenziali e conservare lo stato delle sessioni, affinché le attività possano proseguire anche dopo un’interruzione.
La piattaforma è operativa dal luglio 2026, quando Perplexity ha sostituito il precedente fornitore commerciale di sandbox con una soluzione sviluppata internamente. Oggi gestisce milioni di creazioni di ambienti isolati al giorno e, secondo i dati diffusi dalla società, ha ridotto da tre a cinque volte i tempi necessari per predisporre una nuova sandbox.
L’apertura del codice rende disponibile un’infrastruttura già utilizzata in produzione su larga scala e permette di esaminare direttamente le soluzioni adottate per uno dei problemi centrali dell’AI agentica: consentire ai modelli di eseguire operazioni autonome applicando limiti tecnici indipendenti dalle istruzioni che ricevono.
Firecracker e microVM per isolare l’esecuzione degli agenti
SPACE utilizza Firecracker, la tecnologia di virtualizzazione sviluppata da Amazon Web Services per eseguire macchine virtuali leggere, denominate microVM. Ogni sandbox dispone di un proprio ambiente Linux e di un filesystem scrivibile, all’interno del quale gli agenti possono installare software, avviare processi e modificare file senza intervenire direttamente sul sistema host.
L’isolamento viene applicato dall’hypervisor attraverso la virtualizzazione hardware, offrendo una separazione più robusta rispetto a quella ottenuta affidandosi esclusivamente ai meccanismi del sistema operativo. Questa caratteristica assume particolare importanza quando il codice eseguito viene generato autonomamente da un modello AI oppure proviene da fonti esterne, sulle quali lo sviluppatore dell’applicazione ha un controllo limitato.
L’architettura è distribuita tra un control plane, responsabile della creazione, configurazione, sospensione e rimozione degli ambienti, e i servizi che amministrano le macchine virtuali e i processi in esecuzione. Le applicazioni possono gestire il ciclo di vita delle sandbox attraverso API HTTP, utilizzando connessioni dedicate per ricevere gli output e gli eventi generati dai programmi.
La separazione tra gestione dell’ambiente e comunicazione con i processi consente di mantenere attiva una sandbox anche quando termina un comando o si interrompe la connessione utilizzata dal client. Per un agente impegnato in un’elaborazione articolata, questo significa poter conservare l’ambiente operativo mentre l’applicazione che ne coordina le attività passa da una fase all’altra, senza dover ricostruire ogni volta la macchina virtuale e reinstallare gli strumenti necessari.
Credenziali e rete: le autorizzazioni restano esterne alla sandbox
L’esecuzione isolata del codice risolve soltanto una parte dei problemi di sicurezza degli agenti AI, che per svolgere attività utili devono spesso interrogare API, accedere a repository, utilizzare servizi cloud o interagire con applicazioni aziendali protette da credenziali.
SPACE affronta questa esigenza mantenendo le credenziali gestite dalla piattaforma al di fuori degli ambienti nei quali viene eseguito il codice, attraverso componenti separati che amministrano le connessioni verso i servizi autorizzati. In questo modo, un agente può utilizzare le risorse previste dalla configurazione senza avere necessariamente accesso diretto ai segreti impiegati per autenticarsi, mentre le restrizioni sul traffico vengono applicate dall’infrastruttura.
La distinzione è particolarmente importante quando gli agenti elaborano documenti o pagine Web contenenti istruzioni malevole. Un attacco di prompt injection può cercare di indurre il modello a eseguire comandi imprevisti, modificare file o trasmettere informazioni verso un servizio esterno; la riuscita di queste operazioni dipende però anche dalle autorizzazioni e dai vincoli applicati all’ambiente di esecuzione.
I controlli infrastrutturali costituiscono quindi un secondo livello di protezione rispetto alle istruzioni e ai meccanismi di sicurezza del modello, perché determinano concretamente quali servizi possano essere raggiunti e quali risorse siano disponibili durante l’esecuzione del codice.
Per le organizzazioni che intendono utilizzare agenti AI collegati ai sistemi informativi aziendali, questa separazione permette di applicare politiche di accesso definite dall’infrastruttura, limitando le conseguenze di un comportamento indesiderato del modello o dell’esecuzione di codice non attendibile.
Sessioni persistenti, snapshot e checkpoint per le attività prolungate
Un’altra caratteristica di SPACE riguarda la capacità di conservare lo stato degli ambienti di esecuzione, particolarmente utile per gli agenti impegnati in attività che si sviluppano nell’arco di più sessioni e possono richiedere interventi umani, attese o elaborazioni successive.
La piattaforma supporta snapshot e checkpoint, attraverso i quali è possibile salvare rispettivamente lo stato dei dati e le informazioni necessarie per riprendere l’esecuzione dei processi. Un ambiente può quindi essere sospeso e successivamente ripristinato, recuperando file, strumenti installati e risultati intermedi, mentre i meccanismi di memorizzazione incrementale riducono lo spazio necessario a conservare le modifiche rispetto agli stati precedenti.
SPACE permette inoltre di creare ramificazioni delle sessioni attraverso il branching, generando ambienti alternativi a partire da uno stato già salvato. La funzionalità consente, per esempio, di sottoporre lo stesso insieme di dati a elaborazioni differenti senza duplicare manualmente l’intera configurazione di partenza, oppure di confrontare più strategie di esecuzione mantenendo separati i rispettivi risultati.
Queste possibilità acquistano rilevanza nei sistemi multiagente, nei quali differenti processi possono svolgere attività parallele, e nei flussi di lavoro che prevedono verifiche e approvazioni. Un agente incaricato di produrre un’analisi potrebbe sospendere l’elaborazione in attesa della valutazione di un operatore e riprendere successivamente il lavoro nell’ambiente già predisposto, recuperando lo stato precedente senza ripetere le operazioni completate.
La persistenza delle sessioni contribuisce anche alla gestione delle risorse di calcolo, perché permette di conservare il lavoro svolto durante i periodi di inattività e di riattivare gli ambienti quando necessario.
Sandbox fino a cinque volte più veloci e milioni di creazioni al giorno
Dal luglio 2026 SPACE gestisce le sessioni di Perplexity Computer, con milioni di sandbox create quotidianamente. Il confronto effettuato da Perplexity con il precedente fornitore commerciale, utilizzando lo stesso traffico di produzione, indica tempi di creazione degli ambienti da tre a cinque volte inferiori.
Il miglioramento riguarda una componente importante delle prestazioni dei sistemi agentici, nei quali l’avvio di nuove sessioni può precedere numerose operazioni di elaborazione. Quando un’applicazione suddivide il lavoro tra più agenti oppure attiva ambienti isolati per ogni richiesta, il tempo necessario a predisporre le macchine virtuali contribuisce direttamente alla latenza complessiva del servizio.
SPACE supporta anche i warm pool, insiemi di ambienti già avviati e disponibili per essere assegnati alle applicazioni. Mantenendo una capacità di esecuzione pronta all’uso, questi meccanismi permettono di ridurre i tempi associati al cold start, che comprende l’avvio della macchina virtuale e la preparazione dell’ambiente software prima dell’esecuzione del primo comando.
La combinazione tra microVM leggere, ambienti preinizializzati e sessioni persistenti permette di adattare la gestione delle risorse a carichi differenti, dalle richieste brevi che necessitano di un avvio rapido alle attività prolungate che richiedono la conservazione dello stato.
I test di sicurezza: nessuna evasione dall’hypervisor in 108 tentativi
La sicurezza dell’infrastruttura è stata esaminata anche attraverso una serie di test nei quali nove modelli AI hanno ricevuto il compito di aggirare deliberatamente le restrizioni applicate agli ambienti di esecuzione.
Nella ricerca Escaping SPACE: Part I, pubblicata il 23 settembre 2026, Perplexity ha valutato separatamente l’isolamento delle macchine virtuali e i controlli sulle connessioni di rete, concedendo agli agenti privilegi amministrativi all’interno delle sandbox e, in alcune prove, la possibilità di esaminare il codice sorgente della piattaforma.
Nessuno dei 108 tentativi di evasione dalla macchina virtuale ha avuto successo, anche quando gli agenti potevano installare programmi, utilizzare strumenti di sviluppo e consultare informazioni sul Web. Il risultato riguarda la capacità di superare il confine tra la microVM e il sistema host, una delle proprietà fondamentali per eseguire codice potenzialmente ostile.
Le verifiche sulle connessioni di rete hanno invece individuato alcune vulnerabilità. Nelle 54 prove effettuate con il traffico verso l’esterno completamente bloccato, gli agenti non sono riusciti a raggiungere le destinazioni vietate; quando la configurazione prevedeva l’accesso a un insieme limitato di servizi, quattro dei nove modelli sono riusciti ad aggirare le restrizioni, con 11 tentativi riusciti su 54.
Gli attacchi hanno sfruttato principalmente due tecniche: la manipolazione delle risposte DNS e l’utilizzo di indirizzi IP condivisi da più servizi attraverso le reti di distribuzione dei contenuti (Content Delivery Network, CDN).
Nel primo caso, gli agenti cercavano di alterare la risoluzione di un nome di dominio autorizzato, indirizzando la connessione verso una destinazione differente. Nel secondo sfruttavano il fatto che un singolo indirizzo IP può ospitare servizi diversi, distinguibili attraverso informazioni utilizzate nei livelli superiori dello stack di rete.
Quest’ultima vulnerabilità è particolarmente significativa per i sistemi che applicano restrizioni basate sugli indirizzi IP, perché la condivisione delle infrastrutture CDN permette a servizi autorizzati e non autorizzati di utilizzare gli stessi endpoint di rete. Un controllo limitato all’indirizzo di destinazione può quindi risultare insufficiente per identificare il servizio effettivamente raggiunto.
Perplexity ha corretto i problemi individuati rafforzando la validazione delle risposte DNS e la coerenza tra le informazioni utilizzate per autorizzare e instradare le connessioni. Le verifiche successive alle modifiche non hanno prodotto ulteriori aggiramenti attraverso le due tecniche.
I risultati distinguono chiaramente la resistenza dell’isolamento hardware dalla sicurezza delle politiche di accesso alla rete, che richiedono controlli specifici anche quando il codice rimane confinato all’interno della macchina virtuale.
Le vulnerabilità delle restrizioni di rete coinvolgono anche altri fornitori
La ricerca ha esteso le verifiche ad alcune piattaforme commerciali e open source utilizzate per eseguire codice generato da agenti AI, rilevando vulnerabilità nelle restrizioni di rete in otto delle dieci soluzioni di terze parti esaminate. I risultati pubblicati riguardano nove piattaforme, mentre quelli relativi alla decima sono stati temporaneamente esclusi su richiesta del fornitore.
Le verifiche hanno riguardato la possibilità di raggiungere destinazioni non autorizzate sfruttando le modalità con cui vengono risolti i nomi di dominio e instradate le connessioni. Le condizioni sperimentali e le configurazioni adottate circoscrivono i risultati a questa categoria di vulnerabilità, distinta dalla capacità di evadere dall’ambiente virtualizzato.
Perplexity ha comunicato i problemi individuati ai fornitori interessati, consentendo loro di intervenire sulle implementazioni o sulla documentazione dei controlli di sicurezza.
Le vulnerabilità evidenziano una difficoltà strutturale nella protezione degli ambienti agentici: gli strumenti tradizionali di filtraggio della rete devono confrontarsi con servizi Internet distribuiti, indirizzi condivisi e meccanismi di instradamento che possono rendere ambigua l’identificazione della destinazione effettiva. Quando il codice viene eseguito da agenti capaci di cercare autonomamente modalità per aggirare le restrizioni, queste caratteristiche diventano parte della superficie di attacco.
Akamai, Crusoe e CoreWeave collaborano alla diffusione di SPACE
La pubblicazione del codice è accompagnata da collaborazioni con tre fornitori di infrastrutture cloud, interessati a rendere disponibile SPACE attraverso i propri servizi.
Akamai ha già sperimentato e distribuito la piattaforma sulla propria infrastruttura cloud e sta lavorando con Perplexity per offrirla ai clienti. Crusoe prevede di aggiungerla al portafoglio Managed AI Services, mentre CoreWeave ha predisposto indicazioni per installarla e valutarla attraverso CoreWeave Kubernetes Service.
La collaborazione con operatori cloud può favorire l’utilizzo di SPACE anche da parte delle aziende che preferiscono affidare a servizi gestiti l’amministrazione dell’infrastruttura, mantenendo la possibilità di integrare gli ambienti isolati nei propri sistemi agentici.
La licenza Apache 2.0 permette inoltre di modificare il codice e impiegarlo in applicazioni commerciali, comprese implementazioni personalizzate per differenti infrastrutture e requisiti organizzativi.
Rust, API HTTP e compatibilità con E2B
SPACE è sviluppato prevalentemente in Rust e comprende servizi per l’orchestrazione delle sandbox, la gestione dei processi, la persistenza dei dati e il controllo delle connessioni. L’interfaccia applicativa utilizza API HTTP e Server-Sent Events (SSE) per trasmettere eventi e risultati, consentendo ai client di amministrare gli ambienti indipendentemente dal linguaggio di programmazione utilizzato.
Il progetto include anche un livello di compatibilità con le API di E2B, piattaforma specializzata nell’esecuzione di codice in ambienti isolati per applicazioni AI. La compatibilità con una parte delle interfacce E2B permette agli sviluppatori di riutilizzare strumenti e integrazioni esistenti, riducendo il lavoro necessario per sperimentare SPACE all’interno di applicazioni già sviluppate.
Per l’installazione locale, la configurazione di riferimento utilizza Kind, che permette di eseguire cluster Kubernetes all’interno di container Docker. L’ambiente richiede un host Linux x86-64 con supporto alla virtualizzazione KVM, accesso ai dispositivi di rete virtuali e filesystem btrfs, oltre alle autorizzazioni necessarie per eseguire container privilegiati.
La procedura documentata presuppone quindi l’accesso alle funzionalità di virtualizzazione hardware, eventualmente attraverso la virtualizzazione annidata quando SPACE viene eseguito all’interno di un’altra macchina virtuale. Su macOS, compresi i sistemi Apple Silicon, la configurazione locale prevista dal progetto non è direttamente utilizzabile, mentre le applicazioni possono collegarsi a un’istanza remota attraverso le API.
La disponibilità del codice consente agli operatori di adattare i componenti dell’infrastruttura ai propri ambienti di orchestrazione, verificando direttamente i meccanismi di isolamento, le politiche di rete e la gestione delle credenziali.
La sicurezza degli agenti AI oltre le protezioni dei modelli
SPACE si affianca alle attività del Secure Intelligence Institute di Perplexity, che comprendono strumenti dedicati all’analisi dei contenuti potenzialmente malevoli, al monitoraggio del comportamento degli agenti e alla sicurezza degli ambienti software.
Tra i progetti già pubblicati figurano BrowseSafe, che individua istruzioni malevole nascoste nelle pagine Web; Numbat, sviluppato per rilevare, analizzare e prevenire comportamenti pericolosi degli agenti sui computer; e Bumblebee, uno scanner che identifica pacchetti software, estensioni e configurazioni potenzialmente rischiose negli ambienti di sviluppo.
Le differenti tecnologie intervengono lungo la catena operativa degli agenti: dall’acquisizione di contenuti esterni alla valutazione delle azioni compiute, fino ai controlli sull’infrastruttura che esegue il codice. SPACE agisce su quest’ultimo livello, attraverso meccanismi che stabiliscono quali risorse possano essere utilizzate e quali connessioni siano consentite durante l’esecuzione.
Per le imprese che intendono collegare gli agenti AI ad applicazioni, dati e sistemi aziendali, l’isolamento dell’esecuzione, la separazione delle credenziali e il controllo delle autorizzazioni diventano componenti dell’architettura di sicurezza, da coordinare con i sistemi di gestione delle identità e degli accessi.
L’apertura di SPACE mette a disposizione degli sviluppatori un’infrastruttura già utilizzata per milioni di sessioni quotidiane e permette a ricercatori, aziende e operatori cloud di verificarne le implementazioni, contribuire alla correzione delle vulnerabilità e sviluppare soluzioni adattate ai propri requisiti. La possibilità di utilizzare codice open source per un componente così vicino alle operazioni degli agenti offre inoltre alle organizzazioni maggiore controllo sulle modalità con cui le applicazioni di intelligenza artificiale interagiscono con le risorse informatiche.
