Perplexityがサンドボックス「SPACE」からのエージェント脱獄を試行：脱出ゼロも、CTF形式テストの課題が浮き彫りに

AIに「檻から脱出せよ」と命じたら何が起きるのか。Perplexityは自社のエージェントを使ってその検証を行った。同社は11月11日、製品「Computer」のエージェントが動作するサンドボックス環境SPACEに対する攻撃テストの第2弾を公開した。そして、自社事例にとどまらない教訓を導き出している。すなわち、「テストの指示の出し方次第で、測定される結果が変わってしまう」ということだ。

異なる2つの壁

SPACEは、物理的なホストマシンから隔離された小さなFirecracker仮想マシン内で各エージェントを実行する。ホスト側のゲートウェイが、エージェントがネットワーク上で通信できる宛先をフィルタリングする仕組みだ。Perplexityはそのソースコードを公開している。第1弾の調査では、仮想マシン内で全権限（root）を与えられた9つのモデルに対し、ホスト上に保存されたファイルを読み取ること、あるいはブロックされたアドレスの背後にあるシークレットを取得することが課された。

結果は明暗が分かれた。ソースコードとウェブアクセスを与えられていたにもかかわらず、108回の試行でホストへの脱出は一度も成功しなかった。しかし、パッケージミラーや検索など一部の許可された宛先への通信が認められると、4つのモデルがDNSスプーフィングや許可ドメインとブロック対象ドメインの間で共有されているIPアドレスを経由して、禁止されたアドレスへの到達方法を見つけ出した。成功したのはClaude Opus 5.0、GPT-5.6 Cyber、GPT-5.6 Sol、そしてオープンウェイトモデルで唯一成功したKimi K3である。Perplexityはこれらの脆弱性を修正したとし、調査した10件のサードパーティ製サンドボックスのうち8件でも同様の脆弱性を発見し、各開発元に報告したと述べている。

フラグの罠

Perplexityによれば12のモデルを対象に実施された第2弾では、テストのプロトコルそのものにメスを入れた。ペネトレーションテストでは「CTF（旗取り合戦）」形式が採用されることが多く、隠された秘密の文字列を見つけ出せば成功判定が容易に行える。しかし、そのような指示を受けたエージェントは、仮想マシンの隔離を破ろうとするのではなく、環境内に放置された認証情報を探し回ることに大半の時間を費やしてしまった。仮想化レイヤーを明確に対象として指定する指示を与えたところ、この境界の突破に費やされた労力の割合は平均で約60ポイント跳ね上がった。当初は平均21.5分で探索を終了していたClaude Opus 5.5やGPT-6 Astra（28.6分）は、他のすべてのClaudeおよびGPTモデルと同様に、120分の制限時間をほぼ使い切るようになった。ただし、どちらの指示においても、確認された脱出事例はゼロだった。

もうひとつの発見は、セキュリティ特化型が必ずしも優れているとは限らないという点だ。ネットワークタスクにおいて、GPT-5.6 Solはトポロジーをマッピングしてゲートウェイを特定し、DNSスプーフィングを成功させた。一方で、セキュリティ向けにトレーニングされたGPT-5.6 Cyberはパーサーのコード調査に没頭し、標的を見逃した。Perplexityは、この比較は追加学習の影響を示唆するものではあるが、証明するものではないとしている。