Perplexity ha tentato di far evadere gli agenti dalla sua sandbox SPACE: nessuna fuga, ma una lezione sui test in stile CTF
Perplexity pubblica la seconda parte dei suoi test di attacco contro SPACE, la sandbox dei suoi agenti Computer. Nessun modello ha superato il confine tra macchina virtuale e host, ma lo studio dimostra che il formato «cattura la bandiera» distoglie gli agenti dall'obiettivo e che un modello specializzato in cybersicurezza non offre necessariamente prestazioni migliori.
Cosa succede quando si chiede a un’IA di fuggire dalla propria gabbia? Perplexity ha posto la domanda ai suoi stessi agenti. L’azienda ha pubblicato l‘11 novembre la seconda parte dei suoi test di attacco contro SPACE, la sandbox in cui operano gli agenti del suo prodotto Computer, traendone una conclusione che va oltre il suo caso specifico: il modo in cui si formula il test cambia ciò che si misura.
Due barriere diverse
SPACE esegue ogni agente all’interno di una piccola macchina virtuale Firecracker, isolata dalla macchina fisica che la ospita; un gateway lato host filtra ciò che l’agente può raggiungere in rete. Perplexity ne ha pubblicato il codice sorgente. Nella prima parte, nove modelli dotati di tutti i privilegi all’interno della macchina virtuale dovevano leggere un file archiviato sull’host oppure recuperare un segreto protetto dietro un indirizzo bloccato.
Il risultato è contrastante. Nessuna evasione verso l’host in 108 tentativi, persino disponendo del codice sorgente e dell’accesso al web. Ma quando l’agente aveva a disposizione alcune destinazioni consentite (mirror di pacchetti, ricerca), quattro modelli hanno trovato il modo di raggiungere l’indirizzo vietato, tramite spoofing DNS o passando attraverso indirizzi IP condivisi tra domini autorizzati e bloccati: Claude Opus 5.0, GPT-5.6 Cyber, GPT-5.6 Sol e Kimi K3, l’unico modello a pesi aperti ad avere successo. Perplexity afferma di aver corretto queste falle e di averne trovate di analoghe in otto delle dieci sandbox di terze parti esaminate, segnalandole ai rispettivi sviluppatori.
La trappola della bandiera
La seconda parte, condotta su dodici modelli secondo Perplexity, prende di mira il protocollo stesso. I test di penetrazione riprendono spesso il formato «cattura la bandiera» (CTF): si nasconde una stringa segreta e il successo è facile da verificare. Tuttavia, gli agenti istruiti in questo modo hanno cercato soprattutto credenziali sparse nell’ambiente, invece di attaccare l’isolamento della macchina virtuale. Con un prompt che indicava esplicitamente il livello di virtualizzazione, la quota di impegno dedicata a questo confine è salita in media di circa 60 punti. Claude Opus 5.5, che prima si fermava in media dopo 21,5 minuti, e GPT-6 Astra (28,6 minuti) hanno quindi impiegato, come tutti i modelli Claude e GPT, quasi tutto il limite di 120 minuti. Nessuna evasione verificata è stata ottenuta, con l’una o l’altra formulazione.
Altra constatazione: la specializzazione non garantisce nulla. Sul task di rete, GPT-5.6 Sol ha tracciato la topologia, trovato il gateway e completato con successo lo spoofing DNS; GPT-5.6 Cyber, addestrato per la sicurezza, ha analizzato a fondo il codice dei parser mancando l’obiettivo. Perplexity precisa che questo confronto suggerisce un effetto dell’addestramento, senza tuttavia dimostrarlo.
La nostra lettura
È uno dei rari resoconti quantitativi di uno sviluppatore che attacca la propria sandbox con modelli all’avanguardia e pubblica anche ciò che ha ceduto. Due insegnamenti per chiunque faccia girare agenti: l’isolamento della macchina virtuale e il filtraggio di rete sono due barriere distinte, ed è la seconda, più spesso trascurata, ad aver ceduto. Inoltre, un test di intrusione condotto da agenti misura il prompt tanto quanto il modello: uno «zero evasioni» ottenuto con un brief poco mirato rassicura meno di quanto sembri. Questi risultati restano circoscritti ai modelli, alle durate e ai metodi testati, e non dimostrano che un’evasione sia impossibile.
Fonti
- Perplexity — Escaping SPACE: Part II (novembre 2026) Fonte primaria
- Perplexity — Escaping SPACE: Part I Fonte primaria
- Perplexity — Open-sourcing SPACE, the sandbox platform behind Computer Fonte primaria
- Perplexity su X — annuncio della seconda parte (11 novembre 2026) Fonte primaria
Una fonte primaria proviene direttamente dall'azienda, dal laboratorio o dall'ente interessato. Una fonte secondaria riporta l'informazione senza esserne l'autrice: la segnaliamo come tale. Un errore? Consulta la nostra politica di rettifica.
