Perplexity versuchte, Agenten aus der Sandbox SPACE ausbrechen zu lassen: Kein Ausbruch, aber eine Lektion über CTF-Tests
Perplexity veröffentlicht den zweiten Teil seiner Angriffstests gegen SPACE, die Sandbox für seine Computer-Agenten. Kein Modell durchbrach die Grenze zwischen virtueller Maschine und Host, doch die Studie zeigt, dass das „Capture the Flag“-Format Agenten vom Ziel ablenkt und ein auf Cybersicherheit spezialisiertes Modell nicht zwangsläufig besser abschneidet.
Was passiert, wenn man eine KI auffordert, aus ihrem Käfig auszubrechen? Perplexity hat diese Frage seinen eigenen Agenten gestellt. Das Unternehmen hat am 11. November den zweiten Teil seiner Angriffstests gegen SPACE veröffentlicht – die Sandbox, in der die Agenten seines Produkts Computer laufen – und zieht daraus eine Schlussfolgerung, die über den eigenen Fall hinausgeht: Die Art und Weise, wie man den Test formuliert, verändert das, was man misst.
Zwei unterschiedliche Schutzwälle
SPACE lässt jeden Agenten in einer kleinen Firecracker-Mikro-VM laufen, die von der physischen Host-Maschine isoliert ist; ein hostseitiges Gateway filtert, was der Agent im Netzwerk erreichen darf. Perplexity hat den Quellcode veröffentlicht. Im ersten Teil sollten neun Modelle mit vollständigen Root-Rechten in der virtuellen Maschine entweder eine auf dem Host gespeicherte Datei lesen oder ein Geheimnis hinter einer blockierten Adresse abrufen.
Das Ergebnis fiel zwiespältig aus. Kein Ausbruch auf den Host bei 108 Versuchen, selbst mit Zugriff auf den Quellcode und das Web. Doch wenn der Agent einige zulässige Ziele ansteuern durfte (Paket-Mirrors, Websuche), fanden vier Modelle einen Weg, die verbotene Adresse zu erreichen – über DNS-Spoofing oder über IP-Adressen, die von erlaubten und blockierten Domains geteilt wurden: Claude Opus 5.0, GPT-5.6 Cyber, GPT-5.6 Sol und Kimi K3, das einzige Open-Weights-Modell, dem dies gelang. Perplexity erklärt, diese Lücken behoben zu haben und ähnliche Schwachstellen in acht von zehn untersuchten Drittanbieter-Sandboxen gefunden und den jeweiligen Anbietern gemeldet zu haben.
Die Flaggen-Falle
Der zweite Teil, der laut Perplexity an zwölf Modellen durchgeführt wurde, befasst sich mit dem Testprotokoll selbst. Penetrationstests nutzen häufig das „Capture the Flag“-Format (CTF): Eine geheime Zeichenkette wird versteckt, der Erfolg lässt sich leicht überprüfen. Doch so instruierte Agenten suchten vor allem nach herumliegenden Zugangsdaten in der Umgebung, anstatt die Isolation der virtuellen Maschine anzugreifen. Mit einer Anweisung, die explizit die Virtualisierungsschicht als Ziel benennt, stieg der Anteil des auf diese Grenze verwendeten Aufwands im Schnitt um etwa 60 Prozentpunkte. Claude Opus 5.5, das zuvor nach durchschnittlich 21,5 Minuten abbrach, und GPT-6 Astra (28,6 Minuten) schöpften daraufhin, wie alle Claude- und GPT-Modelle, das Zeitlimit von 120 Minuten fast vollständig aus. Ein verifizierter Ausbruch gelang unter keiner der beiden Vorgaben.
Eine weitere Erkenntnis: Spezialisierung garantiert nichts. Bei der Netzwerkaufgabe analysierte GPT-5.6 Sol die Topologie, fand das Gateway und führte das DNS-Spoofing erfolgreich durch; GPT-5.6 Cyber, das gezielt für Sicherheit trainiert worden war, durchforstete den Parser-Code und verfehlte das Ziel. Perplexity betont, dass dieser Vergleich einen Effekt des Trainings zwar nahelegt, aber nicht beweist.
Unsere Einschätzung
Dies ist einer der seltenen fundierten Erfahrungsberichte eines Anbieters, der seine eigene Sandbox mit Spitzenmodellen angreift und auch offenlegt, was nachgegeben hat. Zwei Lehren für alle, die Agenten betreiben: Die Isolation der virtuellen Maschine und die Netzwerkfilterung sind zwei völlig verschiedene Schutzwälle – und es war der zweite, oft vernachlässigte, der versagte. Zudem misst ein Penetrationstest mit Agenten ebenso sehr das Prompting wie das Modell: Ein „Null Ausbrüche“, das mit einem unzureichend fokussierten Briefing erzielt wurde, beruhigt weniger, als es scheint. Diese Ergebnisse bleiben auf die getesteten Modelle, Zeitspannen und Methoden beschränkt und beweisen keineswegs, dass ein Ausbruch unmöglich ist.
Quellen
- Perplexity — Escaping SPACE: Part II (November 2026) Primärquelle
- Perplexity — Escaping SPACE: Part I Primärquelle
- Perplexity — Open-sourcing SPACE, the sandbox platform behind Computer Primärquelle
- Perplexity auf X — Ankündigung des zweiten Teils (11. November 2026) Primärquelle
Eine Primärquelle stammt direkt von dem betreffenden Unternehmen, Labor oder der Organisation. Eine Sekundärquelle gibt die Information wieder, ohne ihr Urheber zu sein: Wir kennzeichnen sie als solche. Einen Fehler entdeckt? Lesen Sie unsere Korrekturrichtlinie.
