Ein KI-Assistent erhält den Auftrag, Daten aus verschiedenen Quellen zu sammeln, Code zu schreiben, um sie zu analysieren, und das Ergebnis als Diagramm darzustellen. Er arbeitet stundenlang, führt Skripte aus, greift auf Dateien zu und kommuniziert mit anderen Diensten. Ein fehlerhafter Befehl könnte das System beschädigen oder ein Angreifer den Assistenten kapern. Sandboxen verhindern das: isolierte Umgebungen, in denen der Agent arbeitet, ohne das Host-System oder sensible Daten zu gefährden.
Die Ingenieure von Perplexity haben eine Plattform namens SPACE (Sandboxed Platform for Agentic Code Execution) entwickelt. Sie ist für langlaufende, zustandsbehaftete Agenten-Workloads konzipiert. Traditionelle Container-basierte Sandboxen sind für kurze, statlose Jobs optimiert und haben ein Problem: Der Kernel ist ein Single Point of Failure. Wer den Kernel im Container kompromittiert, kann auf den Host-Kernel zugreifen und andere Container gefährden. SPACE nutzt virtuelle Maschinen (VMs) mit eigenem Gast-Kernel. Selbst wenn ein Angreifer den Kernel der VM übernimmt, bleibt der Schaden auf diese eine VM beschränkt – der Host und andere Mandanten sind geschützt.
Warum herkömmliche Sandboxen für Agenten nicht reichen
Ein KI-Agent, der über Stunden oder Tage arbeitet, sammelt Kontext, verändert ein Dateisystem und hinterlässt laufende Prozesse. Bei Container-Ansätzen müsste man diese Zustände regelmäßig extern sichern und bei Fehlern neu aufbauen – aufwendig. SPACE modelliert den gesamten Lebenszyklus einer Sandbox als expliziten Zustandsautomaten: Erstellen, Pausieren, Fortsetzen, Suspendieren und Wiederherstellen sind sauber definierte Operationen. Das ermöglicht Forking, Rollback und Crash-Recovery – ohne dass der Agent jedes Mal neu starten muss.
Die drei Säulen von SPACE: Sicherheit, Funktionalität, Effizienz
Die Herausforderung beim Bau einer Sandbox-Plattform ist die Abwägung zwischen Sicherheit, Funktionalität und Effizienz. Mehr Freiheit für den Agenten bedeutet mehr Angriffsfläche. Schnellere Sandbox-Erstellung durch gemeinsame Ressourcen erhöht das Risiko von Datenlecks. Häufigere Snapshots verbessern die Wiederherstellbarkeit, kosten aber Speicher und Zeit. SPACE balanciert diese Ziele durch eine durchdachte Architektur.
Sicherheit: Mehrschichtige Isolation
Die Isolation ist mehrschichtig. Erstens die VM-Isolation: Jede Sandbox läuft in einer eigenen VM mit Gast-Kernel. Zweitens die Host-OS-Prozessisolierung: Host-Dienste laufen unprivilegiert, privilegierte Operationen werden über einen dedizierten Node-Manager abgewickelt. Kommunikation mit der Sandbox erfolgt ausschließlich über kontrollierte Kanäle: Ein in der VM laufender Daemon namens space reguliert Dateisystemzugriffe, Prozesse und Netzwerk. Dieser Daemon kommuniziert nur mit dem Host über einen privaten In-VM-Kanal – die Netzwerkschnittstelle der VM steht nur dem Workload selbst für ausgehenden Datenverkehr zur Verfügung.
Credentials werden außerhalb der Sandbox verwaltet. Geheime Schlüssel oder Passwörter gelangen nie in die Sandbox. Der Credential Manager verwaltet die Daten außerhalb. Bei Bedarf werden sie auf Netzwerkebene injiziert oder von einem Browser-Agenten automatisch ausgefüllt – sie berühren das Dateisystem des Agenten nie. Für ruhende Daten unterstützt SPACE BYOK (Bring Your Own Key): Verschlüsselungsschlüssel kommen aus dem eigenen Key-Management-Service des Kunden und verlassen nie den sicheren Bereich. Entzieht das Unternehmen den Schlüssel, sind die Daten unlesbar.
Funktionalität: Lebenszyklus für langlebige Agenten
Ein Agent startet ohne Wartezeit. SPACE hält einen Warm Pool von Pods vor, die bereits eine Vorlage (Template) eingebunden haben. Wird eine neue Sandbox angefordert, wird sie einem passenden Pod zugewiesen – das startet in Sekundenbruchteilen. Snapshots sind der Kernmechanismus für Pause, Suspend, Rollback und Wiederherstellung. Ein Scheduler erfasst regelmäßig zwei Arten: Disk-Snapshots (Momentaufnahmen des Dateisystems) und Full-Snapshots (Checkpoints der gesamten VM). Disk-Snapshots sind häufig, Full-Snapshots seltener. Sie verbleiben auf dem Knoten, die Aufbewahrungsdauer richtet sich nach einer gestaffelten Policy.
Wird eine Sandbox suspendiert, pausiert das System die VM, erstellt einen Full-Snapshot und lädt die Artefakte in den Objektspeicher hoch. Erst wenn alle Teile angekommen sind, wird der Snapshot in der Datenbank als wiederherstellbar markiert. So kann kein korrupter Zustand entstehen. Die Wiederherstellung kann auf jedem beliebigen Knoten erfolgen, da der Snapshot zentral gespeichert ist. Das ermöglicht Lastverteilung und Ausfallsicherheit.
Effizienz: Weniger Speicher und schnellere Operationen
Effizienz ist entscheidend. SPACE setzt auf das Btrfs-Dateisystem (B-tree Filesystem) auf den Knoten. Btrfs kombiniert Copy-on-Write mit logischem Volume-Management. Der Vorteil: Reflink-Kopien sind extrem schnell, da nur Metadaten kopiert werden, die Datenblöcke bleiben gemeinsam genutzt. Snapshots sind atomar und sofort. Dadurch braucht man nur den tatsächlichen Änderungsbereich zu speichern. Sandbox-Erstellung und -Wiederherstellung sind effizient.
Die Resultate: Seit der Einführung von SPACE als Sandbox-Schicht für Perplexity Computer im letzten Monat wurden Millionen von Sandboxen erstellt und zig Millionen Wiederverbindungen unterstützt – mit Startzeiten, die drei- bis fünfmal schneller sind als bei der vorherigen Lösung. 100 Prozent der Computer-Sitzungen laufen heute auf SPACE. Die Entwickler planen, die Plattform auf weitere Oberflächen auszurollen.
Was bedeutet das für die Praxis?
Für Anwender von KI-Agenten bedeutet das mehr Vertrauen in die Sicherheit ihrer Systeme. Selbst wenn ein Agent kompromittiert wird, bleibt der Schaden auf die einzelne Sandbox begrenzt. Geheimnisse sind nie im Zugriff des Agenten. Gleichzeitig arbeiten Agenten produktiver, weil sie lange Sitzungen ohne Neustart fortsetzen können. Für Betreiber von Agent-Plattformen bietet SPACE eine skalierbare, effiziente Infrastruktur, die mit den steigenden Anforderungen wächst. Sicherheit und Komfort lassen sich verbinden – wenn die Architektur entsprechend gestaltet ist.
Quelle: research.perplexity.ai
