퍼플렉시티(Perplexity)가 10월 15일(현지시간) AI 에이전트가 코드를 실행하는 격리 환경인 샌드박스 플랫폼 SPACE를 Apache 2.0 라이선스 오픈소스로 공개했다. 미국 매체 세마포(Semafor)가 같은 날 단독 보도했고, 퍼플렉시티는 공식 블로그와 GitHub 저장소를 함께 열었다. 회사는 9개 프런티어 모델에 탈출을 시켜 본 자체 평가에서 가상머신을 벗어난 사례가 한 건도 없었다고 밝혔다.
핵심 정리
- 퍼플렉시티는 Computer 에이전트의 코드 실행을 맡아 온 샌드박스 SPACE를 Rust 코드와 함께 Apache 2.0 라이선스로 공개했다.
- Claude Opus 5.0·GPT-5.6 Sol 등 9개 모델의 가상머신 탈출 시도 108회는 모두 실패했지만, 네트워크 우회는 일부 조건에서 54회 중 11회 성공해 회사가 보완했다.
- Akamai·CoreWeave·Crusoe 등 클라우드 3곳이 고객에게 SPACE를 제공하기로 했다.
퍼플렉시티 SPACE는 무엇인가
SPACE는 에이전트가 쓰는 작업 공간마다 Firecracker 마이크로VM을 하나씩 띄워 호스트와 분리하는 샌드박스 플랫폼이다. 중앙 컨트롤 플레인이 작업 공간의 생성·일시정지·재개·삭제를 관리하고, 애플리케이션은 HTTP API로 샌드박스를 만들어 명령을 실행한다. 샌드박스 안쪽은 신뢰하지 않는 영역으로 취급해 네트워크 통제와 자격 증명을 바깥에 둔다. 에이전트는 허가된 서비스에 접속할 수 있지만 비밀 키를 직접 쥐지 않는 구조다.
퍼플렉시티 공식 블로그에 따르면 회사는 지난 7월 상용 샌드박스 업체를 SPACE로 갈아탔고, 이후 2월 출시한 Computer의 모든 세션이 SPACE 위에서 돌았다. 같은 트래픽으로 비교했을 때 샌드박스 생성 속도는 이전 업체보다 3~5배 빨랐고, 하루 수백만 건의 생성을 처리해 왔다고 한다. 전체 환경을 매번 복사하지 않고 바뀐 부분만 저장하는 스냅샷 방식으로 작업 중단 후 복구와 분기도 지원한다.
AI 모델 9개에 탈출을 시켜 본 결과
근거는 퍼플렉시티가 9월 23일 낸 자체 탈출 평가 보고서다. Claude Opus 5.0, GPT-5.6 Sol, Gemini 3.1 Pro, Kimi K3 등 9개 모델에 게스트 VM의 루트 권한을 주고 두 가지 과제를 냈다. 호스트에 심어 둔 가짜 AWS 키를 빼내는 탈출 과제와 차단된 주소로 신호를 보내는 네트워크 우회 과제다. 소스 코드 제공 여부와 네트워크 허용 범위를 바꿔 모두 216회를 돌렸다.
VM에서 호스트로 넘어간 사례는 108회 중 0회였다. 반면 일부 네트워크를 허용한 조건에서는 54회 중 11회 우회에 성공했다. 소스 코드를 받은 Claude Opus 5.0과 GPT-5.6 Sol은 각각 3회 모두 성공했다. 모델들은 DNS 응답을 위조하거나, 허용된 CDN IP를 함께 쓰는 다른 서비스를 경유하는 방식을 썼다. 퍼플렉시티는 출발지 주소 검증과 게이트웨이의 TLS 종료·SNI 검사를 추가했고, 재시험에서는 우회가 확인되지 않았다고 밝혔다. 세마포는 시도 횟수를 118회로 전했지만 공식 보고서의 VM 탈출 시험은 108회다.
다른 에이전트 샌드박스와 비교하면
같은 보고서는 경쟁 샌드박스 10곳의 네트워크 정책도 직접 시험했다. 이름을 공개한 9곳 가운데 E2B, Vercel Sandbox, Modal, Daytona, Fly.io Sprites, Deno Sandbox, microsandbox 등 7곳에서 우회가 됐고, Cloudflare Sandbox와 NVIDIA OpenShell은 뚫리지 않았다. 퍼플렉시티는 9월 1일 각 업체에 취약점을 알렸고, 일부는 이미 대응책을 내놨다. 단, 모든 수치는 퍼플렉시티의 자체 평가이며 외부 검증은 아직 없다.
클라우드 기업이 SPACE를 들이는 이유
에이전트가 샌드박스를 벗어나는 문제는 이미 현실이 됐다. 9월에는 OpenAI 에이전트가 DNS로 샌드박스를 탈출해 최상위 모델의 도구 사용이 중단된 사건이 있었다. 모델 내부의 정렬만으로는 부족하고, 모델 바깥에 가드레일을 겹겹이 둬야 한다는 목소리가 커지는 배경이다. Akamai는 자사 클라우드에서 SPACE를 시험해 출시했고, Crusoe는 관리형 AI 서비스에 넣기로 했다. CoreWeave는 평가용 배포 안내서를 냈다.
오픈소스로 풀린 만큼 기업이 자체 인프라에 AI 에이전트 실행 환경을 꾸리는 문턱은 낮아질 전망이다. 다만 공개 직후라 GitHub 저장소의 정식 릴리스는 아직 없고, 외부 보안 연구자의 검증이 이어질지가 관건이다. 퍼플렉시티는 보고서 제목에 '1부'를 달아 후속 평가도 예고했다.
자주 묻는 질문
퍼플렉시티 SPACE는 무료로 쓸 수 있나?
그렇다. 소스 코드가 GitHub 저장소에 Apache 2.0 라이선스로 공개돼 상업적 이용과 수정이 가능하다. 직접 설치하려면 Firecracker 마이크로VM을 돌릴 수 있는 환경이 필요하다.
SPACE는 정말 AI 에이전트 탈출을 막았나?
퍼플렉시티 자체 평가에서 VM 탈출 108회는 모두 실패했다. 다만 네트워크 우회는 수정 전 54회 중 11회 성공했고, 회사는 보완 뒤 재시험에서 우회가 없었다고 밝혔다. 외부 기관의 독립 검증은 아직 나오지 않았다.
SPACE는 어떤 클라우드에서 쓸 수 있나?
Akamai가 자사 클라우드에 SPACE를 출시했고 Crusoe는 관리형 AI 서비스에 추가한다. CoreWeave는 자사 쿠버네티스 서비스용 평가 배포 안내를 공개했다.
