Perplexity tentou fazer agentes escaparem de seu sandbox SPACE: nenhuma fuga, mas uma lição sobre testes do tipo CTF
A Perplexity publicou a segunda parte de seus testes de ataque contra o SPACE, o sandbox de seus agentes Computer. Nenhum modelo rompeu a barreira entre a máquina virtual e o host, mas o estudo mostra que o formato “capture a bandeira” desvia os agentes do alvo e que um modelo especializado em cibersegurança não se sai necessariamente melhor.
O que acontece quando você pede para uma IA escapar da sua jaula? A Perplexity fez essa pergunta aos seus próprios agentes. A empresa publicou em 11 de novembro a segunda parte de seus testes de ataque contra o SPACE, o sandbox no qual operam os agentes do seu produto Computer, e chegou a uma conclusão que vai além do seu caso particular: a forma como o teste é formulado altera o que está sendo medido.
Dois muros diferentes
O SPACE roda cada agente em uma pequena máquina virtual Firecracker, isolada da máquina física que a hospeda; um gateway no lado do host filtra o que o agente pode alcançar na rede. A Perplexity abriu o código-fonte da plataforma. Na primeira parte, nove modelos com privilégios totais na máquina virtual precisavam ler um arquivo armazenado no host ou obter um segredo protegido atrás de um endereço bloqueado.
O resultado foi contrastante. Nenhuma fuga para o host em 108 tentativas, mesmo com acesso ao código-fonte e à web. No entanto, quando o agente tinha acesso a alguns destinos autorizados (espelhos de pacotes, busca), quatro modelos descobriram como alcançar o endereço proibido, por meio de falsificação de DNS ou passando por endereços IP compartilhados entre domínios autorizados e bloqueados: Claude Opus 5.0, GPT-5.6 Cyber, GPT-5.6 Sol e Kimi K3, o único modelo de pesos abertos a obter sucesso. A Perplexity afirma ter corrigido essas falhas e encontrado problemas semelhantes em oito dos dez sandboxes de terceiros examinados, alertando seus desenvolvedores.
A armadilha da bandeira
A segunda parte, realizada com doze modelos segundo a Perplexity, analisa o próprio protocolo. Testes de intrusão costumam adotar o formato “capture a bandeira” (CTF): esconde-se uma sequência secreta de caracteres e o sucesso é facilmente verificado. No entanto, os agentes instruídos dessa forma passaram a maior parte do tempo procurando credenciais espalhadas pelo ambiente, em vez de atacar o isolamento da máquina virtual. Com uma instrução que apontava explicitamente para a camada de virtualização, a proporção do esforço dedicada a essa barreira subiu cerca de 60 pontos em média. O Claude Opus 5.5, que antes parava em média após 21,5 minutos, e o GPT-6 Astra (28,6 minutos) passaram, assim como todos os modelos Claude e GPT, a usar quase todo o limite de 120 minutos. Nenhuma fuga verificada ocorreu, sob nenhuma das duas instruções.
Outra constatação: a especialização não garante nada. Na tarefa de rede, o GPT-5.6 Sol mapeou a topologia, localizou o gateway e executou com sucesso a falsificação de DNS; já o GPT-5.6 Cyber, treinado para segurança, vasculhou o código dos analisadores e perdeu o alvo. A Perplexity ressalta que essa comparação sugere um efeito do treinamento, sem comprová-lo.
Nossa leitura
Este é um dos raros relatórios com métricas detalhadas em que uma desenvolvedora ataca seu próprio sandbox usando modelos de ponta e também publica o que falhou. Duas lições para quem opera agentes: o isolamento da máquina virtual e a filtragem de rede são dois muros distintos, e foi o segundo, mais frequentemente negligenciado, que cedeu. Além disso, um teste de intrusão conduzido por agentes mede tanto a instrução quanto o modelo: um resultado de “zero fugas” obtido com um briefing mal direcionado tranquiliza menos do que parece. Esses resultados continuam restritos aos modelos, durações e métodos testados, e não provam que uma fuga seja impossível.
Fontes
- Perplexity — Escaping SPACE: Part II (novembro de 2026) Fonte primária
- Perplexity — Escaping SPACE: Part I Fonte primária
- Perplexity — Open-sourcing SPACE, the sandbox platform behind Computer Fonte primária
- Perplexity no X — anúncio da segunda parte (11 de novembro de 2026) Fonte primária
Uma fonte primária vem diretamente da empresa, do laboratório ou da organização envolvida. Uma fonte secundária relata a informação sem ser a sua autora: nós a sinalizamos como tal. Encontrou um erro? Consulte nossa política de correções.
