مهر
اخبار
پرپلکسیتی سندباکس SPACE را متن‌باز کرد؛ قفل امنیتی ایجنت‌های هوش مصنوعی
شرکت Perplexity سندباکس داخلی خود به نام SPACE را با مجوز Apache 2.0 منتشر کرد؛ زیرساختی که هر جلسه‌ی ایجنت «Computer» را در یک ماشین مجازی جدا اجرا می‌کند و به گفته‌ی خود شرکت، در آزمایش‌های فرار، هیچ مدلی از مرز ماشین مجازی عبور نکرده است.
لیست مطالب
۱. ماجرا چیست و چه چیزی منتشر شد؟
شرکت Perplexity روز پنجشنبه ۱۵ اکتبر ۲۰۲۶ اعلام کرد که سندباکس مورد استفاده در محصول ایجنتی خود را برای همه آزاد می‌کند. نام این پروژه SPACE است و کد آن با مجوز Apache 2.0 در دسترس قرار گرفته؛ یعنی هر شرکت یا توسعه‌دهنده‌ای می‌تواند آن را روی زیرساخت خودش اجرا و تغییر دهد. به گفته‌ی شرکت، همین سامانه زیر پوست هر جلسه‌ی محصول Computer قرار دارد و روزانه میلیون‌ها سندباکس با آن ساخته می‌شود.
سندباکس یعنی یک محیط ایزوله که اگر ایجنت هوش مصنوعی اشتباه کند، فریب بخورد یا عمداً کار خطرناکی انجام دهد، آسیب فقط در همان محیط می‌ماند و به سیستم اصلی نمی‌رسد. هرچه ایجنت‌ها بیشتر کد اجرا می‌کنند، وب می‌گردند و حتی خرید انجام می‌دهند، این لایه‌ی ایزوله‌سازی حیاتی‌تر می‌شود. اگر با مفهوم ایجنت تازه آشنا شده‌اید، آموزش‌های ChatGPT در مستر چت‌جی‌پی‌تی نقطه‌ی شروع خوبی است.
۲. SPACE دقیقاً مخفف چیست و برای چه ساخته شده؟
نام کامل پروژه Sandboxed Platform for Agentic Code Execution است؛ یعنی «پلتفرم سندباکسی برای اجرای کد توسط ایجنت‌ها». Perplexity آن را در ابتدا برای ایمن نگه داشتن ایجنت‌های Portable Computer ساخت؛ ایجنت‌هایی که کارهایی مثل توسعه‌ی وب، پژوهش و حتی خرید اینترنتی انجام می‌دهند. حالا شرکت می‌گوید رقابت بر سر امنیت ایجنت‌ها نباید پشت درهای بسته بماند.
یکی از مهندسان شرکت، Zibi Braniecki، این حرکت را به همکاری توسعه‌دهندگان در روزهای اولیه‌ی امنیت مرورگرها تشبیه کرده است: وقتی چشم‌های بیشتری روی کد باشند، حفره‌ها زودتر پیدا و بسته می‌شوند. نقد و بررسی عمومی همان چیزی است که شرکت از متن‌باز کردن انتظار دارد.
۳. معماری فنی: هر وظیفه یک ماشین مجازی جدا
طبق توضیحات فنی منتشرشده، هر وظیفه‌ی ایجنت در یک ریزماشین مجازی Firecracker اجرا می‌شود. در اصطلاح پروژه، ماشین مجازی «مهمان» (guest) و دستگاه اجراکننده «میزبان» (host) است. ایجنت داخل مهمان دسترسی root دارد و می‌تواند بسته نصب کند و دستور دلخواه اجرا کند، اما مرز میان مهمان و میزبان باید محکم بماند.
کنترل‌ها در سمت میزبان
قوانین شبکه و اعتبارنامه‌های پلتفرم بیرون از سندباکس نگهداری می‌شوند. یک دروازه‌ی (gateway) مخصوص هر سندباکس، سیاست خروج ترافیک را برای همان بار کاری اعمال می‌کند. نتیجه این است که ایجنت می‌تواند به سرویس‌های مجاز وصل شود، بی‌آنکه خودِ کلید یا رمز را ببیند.
اجرای پایدار و بازگشت به عقب
عمر سندباکس از اتصال HTTP کلاینت جدا شده است، پس کارهای طولانی با قطع شدن درخواست اولیه متوقف نمی‌شوند. محیط در حال اجرا می‌تواند روی حافظه و دیسک اسنپ‌شات بگیرد و بعداً دقیقاً از همان حالت ادامه دهد. عملیات توقف، انشعاب، اسنپ‌شات و ازسرگیری پشتیبانی می‌شود و اسنپ‌شات‌ها فقط تغییرات را ذخیره می‌کنند تا هزینه‌ی فضا و انتقال پایین بماند.
۴. امنیت اعتبارنامه‌ها و شبکه
یکی از نکته‌های طراحی SPACE این است که رمزها هرگز وارد ماشین مهمان نمی‌شوند. دروازه، اعتبارنامه‌ی تأییدشده را هنگام فراخوانی سرویس مجاز به درخواست اضافه می‌کند. اگر ایجنت فریب بخورد یا دستورهای مخرب از یک صفحه‌ی وب به آن تزریق شود، چیزی برای سرقت در دسترسش نیست.
همچنین پایان TLS در دروازه انجام می‌شود و دروازه بررسی می‌کند مقدار SNI در دست‌دهی با هدر Host و نام میزبان مجازِ آن آدرس IP یکی باشد. قوانین nftables هم آدرس مبدأ را داخل فضای نام سندباکس اعتبارسنجی می‌کنند. این جزئیات نشان می‌دهد تمرکز طراحان روی بستن راه‌های نشت از مسیر شبکه بوده است.
۵. آزمایش فرار: نه مدل از مرز عبور نکردند
مهم‌ترین ادعای Perplexity درباره‌ی نتیجه‌ی آزمون‌های امنیتی است. شرکت از نه مدل مرزی خواست تلاش کنند از SPACE فرار کنند. طبق گزارش‌ها بیش از صد تلاش انجام شد و هیچ‌کدام از مرز ماشین مجازی عبور نکرد. (منابع مختلف عدد دقیق را ۱۰۸ و ۱۱۸ گزارش کرده‌اند، پس بهتر است به «بیش از صد تلاش» اکتفا کنیم.)
اما ماجرا بی‌نقص نبود. چهار مدل توانستند قوانین خروج مبتنی بر نام میزبان را وقتی PyPI مجاز بود دور بزنند. دو روش مطرح شده شامل جعل پاسخ DNS برای مسموم کردن کش دروازه و استفاده از آدرس‌های IP مشترک CDN برای رسیدن به دامنه‌های نامرتبط بود. شرکت می‌گوید هر دو مسیر را وصله کرده و پس از آن مدلی دوباره موفق نشده است.
در مقایسه، شرکت ادعا می‌کند در آزمون روی سندباکس‌های اختصاصی دیگر، ایجنت‌ها از چند مورد فرار کردند. در بررسی‌ای که به یک ممیزی خارجی نسبت داده شده، از ۱۰ پلتفرم سندباکس میزبانی‌شده، ۸ مورد دست‌کم یک دور زدن را اجازه دادند و فقط Cloudflare Sandbox و NVIDIA OpenShell در برابر هر دو دسته حمله مقاوم بودند. این‌ها ادعای خود Perplexity و منابع مرتبط است و هنوز مستقل تأیید نشده‌اند.
۶. چه کسانی SPACE را ارائه می‌کنند؟
سه شرکت زیرساختی از همان ابتدا وارد ماجرا شده‌اند. شرکت‌های CoreWeave و Akamai آن را روی ابرهای خود آزموده‌اند و برای عرضه به مشتریان تلاش می‌کنند و Crusoe قصد دارد آن را به خدمات هوش مصنوعی مدیریت‌شده‌ی خود اضافه کند. این یعنی SPACE فقط یک مخزن کد نیست و مسیر تجاری هم دارد؛ سازمان‌ها می‌توانند بدون ساختن همه‌چیز از صفر، سندباکس ایجنت را از ارائه‌دهنده‌ی ابری خود بگیرند.
گزارش‌ها حاکی است خبر در بازار هم اثر داشته و سهام برخی شرکت‌های امنیت سایبری با انتشار آن افت کرده است؛ بازار ظاهراً این را نشانه‌ای از ورود زیرساخت امنیت ایجنت به دنیای رایگان و متن‌باز دیده است. البته چنین واکنش‌های کوتاه‌مدت لزوماً بازتاب ارزش بلندمدت نیست.
۷. رقبا و جایگاه SPACE
SPACE تنها گزینه‌ی متن‌باز نیست. شرکت NVIDIA یک ماه پیش OpenShell را در قالب پلتفرم Open Agent Safety Platform عرضه کرد و تا امروز فرار گزارش‌شده‌ای از آن وجود ندارد. Cloudflare هم سندباکس خود را دارد. وجود چند گزینه خبر خوبی است، چون استانداردهای امنیتی در رقابت و نقد متقابل بالا می‌روند.
این روند با موج بازرسی‌های نظارتی هم هم‌راستاست. چند روز پیش گزارش شد که FTC از OpenAI و Anthropic درباره‌ی حادثه‌های امنیتی و تدابیر حفاظتی مدارک خواسته است. وقتی ایجنت‌ها به حساب‌ها و پرداخت‌ها دسترسی پیدا می‌کنند، هر نشت می‌تواند هم خسارت مالی و هم پیامد حقوقی داشته باشد. برای نگاه کلی‌تر به ریسک‌ها و محدودیت‌ها، مقاله‌ی پتانسیل و محدودیت‌های دنیای واقعی هوش مصنوعی را بخوانید.
۸. برای توسعه‌دهندگان و کسب‌وکارها چه معنایی دارد؟
اگر ایجنتی می‌سازید که کد اجرا می‌کند یا در وب کار می‌کند، چند درس عملی از این خبر می‌شود گرفت. اول، ایزوله‌سازی در سطح ماشین مجازی را پیش‌فرض بگیرید، نه یک افزونه‌ی اختیاری. دوم، رمزها را هیچ‌وقت داخل محیط ایجنت قرار ندهید و از یک واسطه برای اتصال استفاده کنید. سوم، قوانین شبکه را فقط بر پایه‌ی نام دامنه ننویسید، چون DNS و CDN راه دور زدن ایجاد می‌کنند.
فهرست پیشنهادی خود مقاله‌ی فنی برای استقرار تولیدی ساده است: پشتیبانی میزبان از پیکربندی Firecracker را بررسی کنید، دسترسی root داخل مهمان را عادی فرض کنید و سرویس‌ها و سوکت‌های میزبان را دور از دسترس نگه دارید. جعل DNS، IP مشترک CDN، ریدایرکت و پروتکل‌های جایگزین را خودتان هم آزمایش کنید. سیاست رمزنگاری و نگهداری و حذف اسنپ‌شات‌ها را مشخص کنید و تأخیر راه‌اندازی و هزینه‌ی ذخیره‌سازی را زیر بار واقعی بسنجید.
برای کسب‌وکارها هم مسئله فقط فنی نیست. مقاله‌ی چرا هوش مصنوعی برای کسب‌وکار مهم است نشان می‌دهد پذیرش هوش مصنوعی بدون مدیریت ریسک می‌تواند دردسرساز شود. ایجنتی که به ایمیل و پرداخت شما دسترسی دارد باید مثل یک کارمند جدید محدودیت و نظارت داشته باشد.
۹. محدودیت‌ها و نکته‌های احتیاط
بیشتر اعداد این خبر از خود Perplexity آمده‌اند و ارزیابی مستقل کامل هنوز منتشر نشده است. مقایسه‌ی «سه تا پنج برابر سریع‌تر» ساخت سندباکس نیز با ارائه‌دهنده‌ی قبلی خود شرکت انجام شده و بنچمارک عمومی با محصولات دیگر نیست. الزامات سخت‌افزاری، نسخه‌ی دقیق Firecracker و روش‌شناسی کامل را باید در گزارش red-team و مخزن GitHub پروژه دنبال کرد.
همچنین هیچ سندباکسی امنیت صددرصد نمی‌دهد. دقیقاً همین آزمایش نشان داد که بخشی از مدل‌ها در لایه‌ی شبکه راه دور زدن پیدا کردند. بنابراین بهترین نگاه، دفاع چندلایه است: ایزوله‌سازی، محدودیت دسترسی، نظارت و امکان بازگشت.
مقایسه‌ی ابزارها و مدل‌ها هم جای خودش را دارد؛ اگر به رقابت مدل‌ها علاقه دارید، مقایسه‌ی ChatGPT و DeepSeek را ببینید.
۱۰. پرسش‌های متداول
سندباکس ایجنت هوش مصنوعی چیست؟
یک محیط ایزوله، معمولاً یک ماشین مجازی یا کانتینر، که ایجنت داخل آن کد اجرا می‌کند. اگر مشکلی پیش بیاید، آسیب به همان محیط محدود می‌ماند و به سیستم اصلی، رمزها و داده‌های دیگر نمی‌رسد.
مجوز SPACE چیست و می‌توان از آن در محصول تجاری استفاده کرد؟
طبق گزارش‌ها مجوز آن Apache 2.0 است که استفاده‌ی تجاری و تغییر کد را اجازه می‌دهد. با این حال پیش از استفاده‌ی رسمی، متن مجوز را در مخزن پروژه بخوانید.
آیا SPACE هک‌ناپذیر است؟
خیر. شرکت می‌گوید هیچ مدلی از مرز ماشین مجازی عبور نکرد، اما چند مدل قوانین شبکه را دور زدند و پس از آن وصله شد. این نتیجه هنوز مستقل تأیید نشده است.
چرا Perplexity چنین ابزاری را رایگان منتشر کرد؟
شرکت می‌گوید همکاری آزاد برای ساخت حفاظ‌های محکم ایجنت ضروری است. از نگاه تجاری هم جلب شرکای زیرساختی و تثبیت SPACE به‌عنوان یک استاندارد می‌تواند مزیت باشد.
SPACE چه فرقی با Docker معمولی دارد؟
کانتینرها هسته‌ی سیستم‌عامل میزبان را به اشتراک می‌گذارند، اما ریزماشین مجازی Firecracker برای هر وظیفه سیستم‌عامل مهمان مجزا دارد. این مرز قوی‌تری ایجاد می‌کند، هرچند با هزینه‌ی منابع بیشتر.
نسخهٔ فوری این مطلب در تلگرام: اینجا بخوانید
