Perplexity、エージェント隔離環境SPACEをOSS公開
Perplexityが、AIエージェントのコードを隔離した環境で動かす基盤「SPACE」をオープンソースとして公開しました。この記事では、公式リポジトリで確認できる仕組みと、報じられているテスト結果を整理します。そのうえで、エージェントを組み込んだ事業やシステムを作るときに何が変わるのかを、私たちの見方として書きます。
Perplexityが公開した「SPACE」とは
Perplexityは2026年10月15日に、同社のエージェント「Computer」の土台になっているサンドボックス基盤SPACEをオープンソース化すると発表しました。サンドボックスとは、プログラムを外の環境から切り離した箱の中で動かす仕組みのことです。AIエージェントがコードを実行するとき、その影響を箱の中に閉じ込める役目を持ちます。
報道によると、Computerは7月からこの基盤の上で動いています。Computerのセッションでは、SPACEが1日に数百万単位の新しいサンドボックスを作っているとされます。以前は商用のサンドボックス事業者を使っていましたが、今回の自社基盤に置き換えたと伝えられています。
Semaforによると、CoreWeave、Akamai、Crusoeが、顧客にSPACEを提供することに合意しています。ただし、この提供条件の詳細は今回確認できていません。
公式リポジトリで確認できた仕組み
ここでは、GitHubの公式リポジトリに書かれていることを中心にまとめます。
隔離の単位は「1つの仮想マシン」
SPACEは、隔離されたFirecracker microVMでコードを動かすサンドボックス基盤で、ライセンスはApache 2.0です。microVMとは、通常の仮想マシンより小さく作られた仮想マシンのことです。報道によれば、各サンドボックスは専用のオペレーティングシステムを持つ小さな仮想マシンの中で動きます。
起動時のひな形になるのが「テンプレート」で、それを元に作られる「サンドボックス」が、自分専用の仮想マシンと書き込み可能なファイルシステムを持ちます。
アプリケーションからはHTTP APIで操作する
アプリケーションはHTTP APIを使って、Linux環境の作成、コマンドの実行、出力の回収、サンドボックスの状態管理を行います。実装言語はRustですが、開発者はRustのライブラリとして組み込むのではなく、HTTPとサーバー送信イベントを通じて使う形です。
リポジトリは、エージェントや利用者の作業場所、コードを実行するジョブのために、別の実行環境が必要なときに使うものだと説明しています。何を実行し、どの結果を残すかはアプリケーション側が決めます。
公式の手順は「基盤を自分で用意する」ところから
導入手順は、ローカルのKindクラスタにSPACEをデプロイして認証するところから始まります。つまり、APIキーをつなぐだけで使えるサービスではなく、動かす場所を用意する必要がある基盤だと読めます。
報じられているテスト結果と、その読み方
Perplexityは、最先端の9つのモデルに脱出を試みるよう指示して、SPACEをテストしたと説明しています。結果は、二つに分けて報じられています。
- 仮想マシンからホスト側への脱出は、108回の試行で0件でした。
- 一方で、外部への通信を制限する設定を、一部アクセスが許された条件の54回のうち11回で回避されたと報告されています。
Perplexityは、ゲートウェイの防御を変更し、その後の再テストでは成功した回避は見られなかったと説明しています。
この数字は、Perplexity自身が行ったテストの報告です。私たちが確認できたのは報道と公式リポジトリまでで、第三者による検証結果は確認できていません。また、他社のサンドボックスとの比較は、今回の確認では扱いません。
読み取れる点は二つあります。仮想マシンの隔離は破られなかった一方で、通信のルールは破られた場面があったという点です。隔離の強さは、層ごとに別々に見る必要があることを示しています。
編集部の見方：エージェントを事業に組み込むときに増える判断
ここからは、事実ではなく私たちの見方です。
隔離環境は、事業の「安全の設計」の一部になる
エージェントがコードを書いて動かす機能は、新規事業のサービスにも入り始めています。たとえば、利用者の依頼に応じてデータを加工するサービスや、作業を自動で進める機能です。こうした機能では、エージェントが何を実行しても、他の利用者のデータやサービス本体に触れない設計が必要になります。
これまでは、この隔離を商用サービスに任せるか、自分たちで作るかの二択に近い状況でした。SPACEのような実績のある基盤がソースコードごと公開されると、中身を読んで、自分たちの事業に合うかを判断する材料が増えます。選べる範囲が広がるぶん、判断する項目も増えます。
自前で動かすなら、運用の仕事が付いてくる
SPACEは、導入に基盤の用意が必要な構成です。公開されたことで、運用の負担がなくなるわけではありません。動かす場所の確保、更新への追従、障害時の対応は、使う側の仕事になります。
事業の初期段階では、まず隔離の仕組みを自前で持つ必要があるのかを、使い道から考えるほうが自然だと私たちは考えます。内製か外注かの整理は、内製と外注どちらがいい？新規事業システムの判断軸でも書いています。
隔離しても、権限とデータの設計は残る
隔離環境は、エージェントの実行を箱に閉じ込める仕組みです。エージェントに、どの外部サービスへの接続を許すか、どのデータを渡すかは、別に決める必要があります。SPACEでは、通信と認証情報を仮想マシンの外で管理する構成が示されていますが、何を許可するかの方針そのものは、使う側が決めます。
以前の記事で取り上げたMXCが正式版に、AIエージェントの権限をOSで制限も、エージェントの動ける範囲を、モデルの外側で制限する考え方でした。今回のSPACEも同じ方向の動きです。エージェントのふるまいをモデルの学習だけに頼らず、周囲の仕組みでも制限する流れが、複数の会社から出てきています。
また、通信のルールが一部の条件で回避されたという報告は、設定を作って終わりにせず、実際に試して確かめる必要があることを示しています。この確認は、セキュリティの観点ではAI生成コードのセキュリティ｜確認点と人の役割で整理した、人が確かめる工程の一つとして考えられます。
事業アイデアや顧客データの扱いは、別に確認する
エージェントに渡す情報には、事業のアイデアや顧客のデータが含まれることがあります。隔離環境があっても、どこにデータが送られるかという確認は別に残ります。確認の観点は生成AI開発の情報漏洩を防ぐ確認点｜機密と事業アイデアにまとめています。
まとめ
- Perplexityは、AIエージェントのコードを隔離して動かす基盤SPACEを、Apache 2.0で公開しました。
- 各タスクは専用のFirecracker microVMで動き、アプリケーションからはHTTP APIで操作します。
- Perplexityの報告では、仮想マシンからの脱出は108回で0件でした。一方、通信制限の回避は一部の条件で見つかり、修正されたと説明されています。
- 新規事業では、隔離の仕組みを自前で持つのか、使い道が固まってから決めるのかを分けて考えると整理しやすくなります。
エージェントを組み込んだサービスは、構想の段階では「何を任せ、何を人が確かめるか」が見えにくいものです。JustFitは、構想をもとに約1ヶ月で動くプロトタイプを先に作り、実物を見てから判断できる受託開発サービスです。何を作るかを決めることと、品質の最終判断は人が担い、その間の工程をAIの開発基盤LAFが支えています。エージェントを使った事業の形を動くもので確かめたいときは、JustFitのサービス紹介もご覧ください。