Perplexity intentó que varios agentes escaparan de su sandbox SPACE: ninguna fuga, pero sí una lección sobre las pruebas tipo CTF

¿Qué ocurre cuando se le pide a una IA que escape de su jaula? Perplexity planteó la pregunta a sus propios agentes. La empresa publicó el 11 de noviembre la segunda parte de sus pruebas de ataque contra SPACE, el sandbox en el que se ejecutan los agentes de su producto Computer, y extrae una conclusión que trasciende su propio caso: la forma en que se formula la prueba altera lo que se mide.

Dos muros diferentes

SPACE ejecuta cada agente dentro de una pequeña máquina virtual Firecracker, aislada de la máquina física que la aloja; una pasarela en el lado del host filtra lo que el agente puede alcanzar en la red. Perplexity ha publicado su código fuente. En la primera parte, nueve modelos que disponían de todos los privilegios en la máquina virtual debían o bien leer un archivo guardado en el host, o bien recuperar un secreto oculto tras una dirección bloqueada.

El resultado fue dispar. Ninguna fuga hacia el host en 108 intentos, incluso teniendo acceso al código fuente y a la web. Sin embargo, cuando el agente tenía permiso para acceder a unos pocos destinos autorizados (réplicas de paquetes, búsqueda), cuatro modelos descubrieron cómo alcanzar la dirección prohibida, ya fuera mediante suplantación de DNS o pasando por direcciones IP compartidas entre dominios autorizados y bloqueados: Claude Opus 5.0, GPT-5.6 Cyber, GPT-5.6 Sol y Kimi K3, el único modelo de pesos abiertos en conseguirlo. Perplexity asegura haber solucionado estas fallas y haber encontrado vulnerabilidades parecidas en ocho de los diez sandboxes de terceros analizados, las cuales comunicó a sus desarrolladores.

La trampa de la bandera

La segunda parte, realizada con doce modelos según Perplexity, cuestiona el protocolo en sí. Las pruebas de penetración suelen recurrir al formato de «captura de la bandera» (CTF): se esconde una cadena secreta y el éxito se verifica con facilidad. No obstante, los agentes instruidos de este modo se dedicaron sobre todo a buscar credenciales dispersas en el entorno, en lugar de atacar el aislamiento de la máquina virtual. Al utilizar una instrucción que señalaba explícitamente la capa de virtualización, la parte del esfuerzo dedicada a esta frontera subió unos 60 puntos de media. Claude Opus 5.5, que antes se detenía tras un promedio de 21,5 minutos, y GPT-6 Astra (28,6 minutos) pasaron entonces, al igual que todos los modelos Claude y GPT, a consumir casi la totalidad del límite de 120 minutos. Con ninguna de las dos instrucciones se obtuvo una fuga verificada.

Otra conclusión: la especialización no asegura nada. En la prueba de red, GPT-5.6 Sol trazó la topología, localizó la pasarela y completó con éxito la suplantación de DNS; GPT-5.6 Cyber, entrenado para tareas de seguridad, examinó a fondo el código de los analizadores y erró el objetivo. Perplexity matiza que esta comparación sugiere un efecto del entrenamiento, pero no llega a demostrarlo.