7月17日、Techstrong.aiが「Perplexity Unveils SPACE, a Secure Sandbox Platform for AI Agents」と題した記事を公開した。PerplexityがAIエージェント向けのセキュアサンドボックス基盤「SPACE」を発表し、そのアーキテクチャと安全設計について詳しく紹介されている。

AIエージェントのセキュリティ問題に正面から向き合う

AIエージェントは強力だが、その実行環境のセキュリティは長らく曖昧なままだった。コード実行、ファイル操作、外部API呼び出しを伴う長時間タスクをどう安全に動かすか——この課題に対し、Perplexityは「SPACE（Secure Platform for Agentic Computer Environments）」を構築し、**Perplexity Computerのエージェント実行基盤をSPACEに一本化**すると発表した。

SPACEが対象とするのは「単一の質問に答えるだけのエージェント」ではなく、調査・データ分析・レポート自動生成といった数分〜数時間にわたる多段階ワークフローを実行するエージェントだ。

核心：FirecrackerマイクロVMによるタスク単位の隔離

SPACEのセキュリティ設計の核心は、すべてのタスクをFirecracker microVMの中で実行する点にある。

FirecrackerはAWSが開発したVMMで、Linux KVMを使ってマイクロVM（軽量仮想マシン）を生成・管理する。通常のコンテナよりも強い隔離を実現しつつ、起動が速いのが特徴だ。各マイクロVMは専用のLinuxカーネルを最小限のデバイスモデルで起動するため、攻撃対象面（アタックサーフェス）が小さく、問題が起きたときの「爆発半径」を最小化できる。

さらにSPACEのサンドボックスは必要なタスクが終わると即座に破棄される設計だ。再起動をまたぐ必要があるジョブに対しては、サンドボックスを「セッション」でラップし、一時停止・再開・分岐が可能。ローリングスナップショット技術により、サンドボックス自体は使い捨てでも、コンテキストはセッションをまたいで引き継がれる。

3層アーキテクチャの詳細

SPACEは3つのレイヤーで構成される。最上位のコントロールプレーンがサンドボックスのライフサイクルをオーケストレーションする中央管理レイヤーだ。単一のAPIを通じてすべてのリクエストを受け付け、どのバックエンドにルーティングするかをリアルタイムで判断する。ステートレス設計のため、ローカルマシン含む既存のインフラ上で同じAPIコールが動作する。

中間のノードレベルサービスが担う最重要の役割が、クレデンシャル（認証情報）をサンドボックス内部に渡さない点だ。Googleアカウントへの一時アクセスが必要なら、SPACE側がサインインフローを処理し、サンドボックス内にクレデンシャルを公開しない。アウトバウンドのネットワークトラフィックもノードレベルで制御され、侵害されたエージェントが許可スコープ外に接続することを防ぐ。

最下位のサンドボックス内レイヤーがFirecrackerマイクロVM本体だ。内部で動作する「SPACE Daemon」だけがPerplexityのコントロールプレーンと通信し、start・pause・snapshotといった操作シグナルのみを扱う。3層の責務を明確に分離することで、どこかのレイヤーが侵害されても影響が上下に波及しにくい構造になっている。

ゼロトラスト設計とクレデンシャル保護

SPACEはゼロトラストアプローチを採用している。エージェントが実行するコードはすべて「信頼できない、潜在的に悪意のあるもの」として扱う。

外部APIやサービスの呼び出しは、厳格に制御されたプロキシ経由で行われる。スコープ付きトークンをその場で注入する仕組みのため、エージェントはAPIキーや長期有効なシークレットを直接参照しない。また、アウトバウンド接続は送信元・送信先・目的によって制約できる。これにより、オペレーターはエージェントが「何ができて、何ができないか」を明確に管理できる。

パフォーマンスの担保：BtrfsとWarm Pool

セキュリティ層を重ねると遅くなるのでは、という疑問に対し、Perplexityはキャッシング・Firecracker・**Btrfs（B-treeファイルシステム）**の組み合わせで対処していると説明している。Btrfsはコピーオンライト（CoW）ファイルシステムと論理ボリューム管理を統合したLinuxのファイルシステムで、詳細はkernel.orgのBtrfsドキュメントも参照されたい。

Perplexityの技術ブログによれば、毎回ゼロからサンドボックスを起動するのではなく、共通テンプレートをあらかじめディスクへ展開済みのPodを「ウォームプール」としてプールしておき、テンプレートが一致するPodにリクエストを即時バインドする仕組みで高速応答を実現しているとのことだ。使い捨ての隔離とレイテンシの両立を、プール管理によって解決している。

「チャットボット」ではなく「分散アプリケーション」として扱う

この設計が示すメッセージは明確だ。AIエージェントをチャットボットの延長ではなく、従来のサービスと同等の厳密さが求められる分散アプリケーションとして扱うということだ。

SPACEをPerplexity Computerの専用ランタイムレイヤーとして正式化したことで、低レベルの隔離・セキュリティエンジニアリングを抽象化しつつ、エージェントが実行できる範囲を明確に定義した管理ランタイムを提供する立場を取った形になる。

詳細はPerplexity Unveils SPACE, a Secure Sandbox Platform for AI Agentsを参照していただきたい。