Perplexity a tenté de faire s'évader des agents de son bac à sable SPACE : aucune évasion, mais une leçon sur les tests de type CTF
Perplexity publie la deuxième partie de ses tests d'attaque contre SPACE, le bac à sable de ses agents Computer. Aucun modèle n'a franchi la frontière entre la machine virtuelle et l'hôte, mais l'étude montre que le format « capture du drapeau » détourne les agents de la cible et qu'un modèle spécialisé en cybersécurité ne fait pas forcément mieux.
Que se passe-t-il quand on demande à une IA de s’échapper de sa cage ? Perplexity a posé la question à ses propres agents. L’entreprise a publié le 11 novembre la deuxième partie de ses tests d’attaque contre SPACE, le bac à sable dans lequel tournent les agents de son produit Computer, et en tire une conclusion qui dépasse son cas : la manière dont on formule le test change ce que l’on mesure.
Deux murs différents
SPACE fait tourner chaque agent dans une petite machine virtuelle Firecracker, isolée de la machine physique qui l’héberge ; une passerelle côté hôte filtre ce que l’agent peut joindre sur le réseau. Perplexity en a publié le code source. Dans la première partie, neuf modèles disposant de tous les droits dans la machine virtuelle devaient soit lire un fichier stocké sur l’hôte, soit récupérer un secret derrière une adresse bloquée.
Résultat contrasté. Aucune évasion vers l’hôte en 108 essais, même avec le code source et un accès au web. Mais quand l’agent avait droit à quelques destinations autorisées (miroirs de paquets, recherche), quatre modèles ont trouvé comment atteindre l’adresse interdite, par usurpation DNS ou en passant par des adresses IP partagées entre domaines autorisés et bloqués : Claude Opus 5.0, GPT-5.6 Cyber, GPT-5.6 Sol et Kimi K3, seul modèle à poids ouverts à réussir. Perplexity dit avoir corrigé ces failles et en avoir trouvé de semblables dans huit des dix bacs à sable tiers examinés, signalées à leurs éditeurs.
Le piège du drapeau
La deuxième partie, menée sur douze modèles selon Perplexity, s’attaque au protocole lui-même. Les tests d’intrusion reprennent souvent le format « capture du drapeau » (CTF) : on cache une chaîne secrète, la réussite se vérifie facilement. Or les agents ainsi briefés ont surtout cherché des identifiants traînant dans l’environnement, au lieu d’attaquer l’isolation de la machine virtuelle. Avec une consigne qui désigne explicitement la couche de virtualisation, la part d’effort consacrée à cette frontière a grimpé d’environ 60 points en moyenne. Claude Opus 5.5, qui s’arrêtait en moyenne après 21,5 minutes, et GPT-6 Astra (28,6 minutes) ont alors, comme tous les modèles Claude et GPT, utilisé presque toute la limite de 120 minutes. Aucune évasion vérifiée n’a été obtenue, avec l’une ou l’autre consigne.
Autre constat : la spécialisation ne garantit rien. Sur la tâche réseau, GPT-5.6 Sol a tracé la topologie, trouvé la passerelle et réussi l’usurpation DNS ; GPT-5.6 Cyber, entraîné pour la sécurité, a fouillé le code des analyseurs et manqué la cible. Perplexity précise que cette comparaison suggère un effet de l’entraînement sans le prouver.
Notre lecture
C’est l’un des rares retours chiffrés d’un éditeur qui attaque son propre bac à sable avec des modèles de pointe et publie aussi ce qui a cédé. Deux enseignements pour tous ceux qui font tourner des agents : l’isolation de la machine virtuelle et le filtrage réseau sont deux murs distincts, et c’est le second, plus souvent négligé, qui a lâché. Ensuite, un test d’intrusion par agents mesure autant la consigne que le modèle : un « zéro évasion » obtenu avec un brief mal ciblé rassure moins qu’il n’y paraît. Ces résultats restent bornés aux modèles, aux durées et aux méthodes testés, et ne prouvent pas qu’une évasion est impossible.
Sources
- Perplexity — Escaping SPACE: Part II (novembre 2026) Source primaire
- Perplexity — Escaping SPACE: Part I Source primaire
- Perplexity — Open-sourcing SPACE, the sandbox platform behind Computer Source primaire
- Perplexity sur X — annonce de la deuxième partie (11 novembre 2026) Source primaire
Une source primaire émane directement de l'entreprise, du laboratoire ou de l'organisme concerné. Une source secondaire rapporte l'information sans en être l'auteur : nous la signalons comme telle. Une erreur ? Consultez notre politique de correction.
