Perplexity 的 Computer 智能体今年 2 月上线时，沙箱是买来的；7 月，他们换成了自研的 SPACE；10 月 15 日，这套承载了四个月生产流量的沙箱平台以 Apache 2.0 开源。这个顺序本身就是故事：先用自己的业务把方案跑烫，再开放给别人用。SPACE 的全称是 Sandboxed Platform for Agentic Code Execution，智能体代码执行沙箱平台。
盒子里面与盒子外面
架构一句话：每个沙箱是一台跑着自己操作系统的小虚拟机，底层是 Firecracker 微虚拟机；控制面在盒外，统一调度工作区的创建、暂停、恢复与移除。真正值得抄的是两处布置。先说凭据——由平台持有，不进沙箱，智能体要连授权服务可以，但密钥不在它够得着的地方。第二，网络访问策略同样在盒外——连得通谁，是控制面说了算，不是沙箱里的代码说了算。快照与检查点覆盖整个运行环境，但存的是变化量而不是整份拷贝，创建、恢复、分叉因此都便宜；会话可以暂停等人审阅，也可以从中间岔出两条试试哪条路干净，错了还能退回早先的文件状态。
规模与自设考场
官方口径：SPACE 自 7 月起承载 Computer 的全部会话，日均创建数百万个沙箱；同生产流量对比，沙箱创建速度是此前商业方案的三到五倍。安全评估的读数是：智能体故意尝试突破边界 108 次，没有一次从虚拟机逃逸到宿主机；但评估也承认，部分网络限制曾被绕过——修复后复测，两种攻击路径都没再得手。官方还把在其他沙箱平台发现的漏洞通报给了对应厂商。CoreWeave 与 Akamai 已经测试并上架 SPACE，Crusoe 计划把它纳入托管 AI 服务组合。
一段难得的自我拆台
官方博客里有句话值得所有买沙箱的人划线：「追求合法任务的智能体，依然可能跨过安全边界——当文件缺失、请求失败、权限被拒时，它会想办法绕过去。」这句话等于承认：沙箱防的不只是恶意，还有「好心办坏事」的创造性。配套的设计哲学也就顺理成章——模型自身的护栏降低不安全行为出现的概率，外围的独立控制限定智能体能碰到什么、兜住护栏失效时的后果。两层各干各的，谁也别把全部信任押在对方身上。
放进台谱里看
「钥匙挂在盒子外」这个模式，本周在台谱里此呼彼应：ServiceNow 的 AI Passport 把授权做成运行时查验的凭据（1943），AWS 的 Trust in Depth 明说「智能体关不掉它不运行的控制」（1945），Labelbox 的托管智能体把凭据锁进保险库、模型不可见（1929）。四个厂商、四种产品、同一个直觉：权限与密钥必须住在智能体够不着的某一层。再看沙箱这一层本身，1746 的 MXC 执行容器、1411 的 OpenShell、1912 的 Chainguard 挽具、974 的 Coop，都在划边界，但都带着各自的厂商语境；SPACE 的特殊之处在于，它背后是一个 to C 的 AI 公司，把生产级运行时底座直接公共化。开源的算盘也摆在明面上：能看、能改、能挑错的人越多，漏洞暴露得越快——分发即审计。
冷水三盆。108 次尝试是厂商自设考场，评分标准与攻击者水平都未经第三方复核；「数百万次日创建」「三到五倍提速」全是公司口径，没有独立基准；Apache 2.0 给的是代码，不是支持承诺，生产采用该有的评估一样都少不了。
想把 SPACE 接进自家栈的团队，先问自己四个问题：微虚拟机的启动开销，在冷启动密集的场景里吃不吃得消；变化量快照在长会话下的存储曲线长什么样；网络策略的默认面是拒绝还是放行；开源许可之下，自己团队的响应 SLA 谁来兜。四个问题都有答案再动手，比读十篇发布稿管用。
但即便扣掉这些折扣，把沙箱这一层从「各家的自留地」推向「公共基础设施」，这件事本身的行业意义，比任何单条读数都耐嚼。