Perplexity SPACEとは？Computerを支えるサンドボックス基盤がApache 2.0で公開

室谷代表取締役

Perplexity SPACE（スペース）は、Perplexityが2026年10月15日に発表した、AIエージェント製品「Computer」の全タスクを実行するサンドボックス基盤で、Apache 2.0ライセンスでオープンソース化されました。エージェントがコードを実行する環境を、自社製の隔離基盤として外に開いた形なんですよね。

テキトー教師DotAI 認定講師

これは単に「自社ツールを公開しました」という話じゃないんですよ。エージェントの安全性を、モデル側のガードレールだけに任せず、周囲のシステムに独立した制御として置くという設計思想の表明でもあります。

室谷代表取締役

発表そのものはPerplexityの公式Xアカウントから出ています。まず何が発表されたかを整理すると、こうです。

テキトー教師DotAI 認定講師

ポイントは、SPACEが「Computerの全タスクを動かしている実運用の基盤」だという点です。実験用のデモではなく、すでに本番で回っているものを出してきたところが重いですね。

Perplexity SPACEとは？何がオープンソース化されたのか

室谷代表取締役

SPACEは「Sandboxed Platform for Agentic Code Execution」の略で、日本語にするとエージェントのコード実行のためのサンドボックス基盤です。サンドボックスというのは、AIエージェントがコードを走らせたりファイルを触ったりするときに、本体システムから隔離された安全な作業部屋のことですね。

テキトー教師DotAI 認定講師

構造としては、SPACEはオープンソースプロジェクトのFirecrackerの上に構築されています。各SPACEサンドボックスはFirecracker microVMで、これを「ゲスト」と呼び、VMをホストする物理マシンやクラウドマシンを「ホスト」と呼ぶ。

ホストはゲストの支配外に置かれる、という分担です。

室谷代表取締役

ここが設計の肝なんですよ。エージェントはゲストVMの中でroot権限を持てる。

コマンドを実行し、パッケージを導入し、外部サービスを呼べる。でも、ホスト側には手が届かない。

加えて、サンドボックスごとのゲートウェイが、外向きの接続すべてに対してegressポリシーを強制する。認証情報と外部通信を、VMの外側から制御するわけです。

テキトー教師DotAI 認定講師

整理するとこうです。

• SPACEはPerplexityのComputer上で全タスクを実行するサンドボックス基盤
• 各エージェントタスクに専用のFirecracker microVM（ゲスト）を割り当て
• エージェントはVM内でroot権限を持ち、コマンド実行・パッケージ導入・外部サービス呼び出しが可能
• ホストはゲストの支配外に置かれ、サンドボックス単位のゲートウェイが外向き通信を統制
• 認証情報はプラットフォーム側がVMの外で管理し、エージェントの作業環境には保存されない

室谷代表取締役

認証情報が作業環境に置かれないというのは、実務ではかなり大きいです。MYUUUでもエージェントに外部APIを叩かせるとき、鍵の扱いがいつも悩みどころなんですよね。

テキトー教師DotAI 認定講師

そこはSPACEが「サンドボックスを信頼しない」という前提で設計されている部分です。エージェントが何を決めようと、アクセスできる範囲をシステム側で制限する。

モデルの善意に依存しない制御を外側に置いているわけです。

SPACEでできること——エージェント実行・状態保持・フォーク

室谷代表取締役

SPACEの特徴で一番おもしろいのは、エージェントの作業が「長時間・状態保持・分岐」を前提にしている点です。公式の説明では、Computer上のエージェント作業はlong-runningでstatefulでbranching、つまり再起動に耐えなければならないとされています。

テキトー教師DotAI 認定講師

SPACEのサンドボックスは、それを作ったリクエストや、出力を運ぶ接続よりも長く生き残るんですよ。一時停止できて、フォークできて、メモリとディスクのスナップショットにサスペンドして、続きから目覚められる。

室谷代表取締役

これは普通のサンドボックスとはだいぶ違いますよね。普通はリクエストが終わったら環境も消える。

でもエージェントの作業は、人のレビュー待ちで止まったり、途中で別案を試したくなったりする。そこで状態が消えたら意味がないわけです。

テキトー教師DotAI 認定講師

公式ブログでは、こうした能力が支える使い方の例として三つ挙げられています。整理するとこうです。

• データ分析: スプレッドシートを整形し、計算を走らせ、別のワークスペースでグラフを作る
• 作業の再開: 下書きのレビューや不足情報の提供のために一時停止し、ファイルと実行状態を保ったまま再開する
• 代替案の探索: データセットの整形方法を別々のワークスペースのコピーで試したり、ミス後に以前のファイルを復元したりする

室谷代表取締役

フォークが効くのは、まさに「代替案の探索」ですよね。同じ初期状態から二つのアプローチを並行で試して、良かった方を残す。

これは人間のチームの仕事の進め方に近いんですよ。

テキトー教師DotAI 認定講師

効率の面も見逃せません。SPACEは頻繁にファイルのスナップショットと、実行環境全体のチェックポイントを取って、中断をまたいで進捗を保つ。

そのとき、環境全体を毎回コピーするのではなく変更分を保存する。だから作成・復元・分岐にかかる仕事量が減る、という設計です。

室谷代表取締役

このへんの長時間エージェントの実行基盤という文脈は、Perplexity Computer Ultrafastとは？で扱った高速化の話とも地続きなんですよね。エージェントを実運用に乗せるには、速さと状態保持の両方が要る。

SPACEの使い方・始め方——Apache 2.0での入手と導入手順

室谷代表取締役

で、今回の発表の実務的なポイントは、これがApache 2.0で「Available now」、つまり今すぐ入手できるという点です。リポジトリはGitHubのperplexityai/SPACEで公開されています。

テキトー教師DotAI 認定講師

Apache 2.0なので、商用利用も改変も再配布もできます。ただし条件は守る必要があります。

ライセンス文書を同梱すること、変更したファイルには変更した旨を明示すること、著作権・特許・商標・帰属の表示を残すこと。このあたりは受講生さんがよく混同するので、講座でも毎回触れています。

室谷代表取締役

ライセンス名は正確に扱いたいですね。Apache 2.0であって、MITではない。

ここは実務では結構大事です。

テキトー教師DotAI 認定講師

始め方としては、公式ブログが「SPACEのセットアップ手順とセキュリティガイダンスから始めて、自分のエージェントシステムにデプロイできる」と案内しています。リポジトリとドキュメントに、サポートされる構成と含まれるコンポーネントが定義されている、というのが公式の説明です。

室谷代表取締役

リポジトリ側もそれなりの規模で、公式ページ抜粋を見るとStarが996、Forkが66、Issueが6、Pull Requestが92、コミットが348。ドキュメントやサンプル、Firecrackerのテンプレート、Rustのクレート群、proto定義、UIまで含まれている構成ですね。

テキトー教師DotAI 認定講師

つまり「読んで理解するだけの資料」ではなく、実際に動かして自分たちの環境に組み込む前提のリポジトリだということです。プラットフォームエンジニアやセキュリティエンジニアが、隔離モデルとセキュリティの例を確認したうえで統合する、という流れが公式には想定されています。

室谷代表取締役

導入先の選択肢も発表時点で出ています。Akamaiは自社クラウド上でSPACEをテストして起動し、Perplexityと協力して顧客に届けようとしている。

CrusoeはManaged AI ServicesポートフォリオにSPACEを加えるため提携中。CoreWeaveはCKS上で評価用にSPACEをデプロイしたい開発者向けのセットアップガイダンスを公開している、というのが公式ブログの記載です。

テキトー教師DotAI 認定講師

自前でデプロイする以外に、クラウド事業者経由で試せる道が最初から用意されているのは大きいですね。

SPACEのセキュリティ——108回の脱出試行とネットワーク回避の検証結果

室谷代表取締役

ここが今回の発表で一番濃い部分です。Perplexityは自社のセキュリティ研究機関を通じて、SPACEをフロンティアモデルで攻撃する検証をやっているんですよ。

テキトー教師DotAI 認定講師

公式の研究レポート「Escaping SPACE: Part I」が2026年9月23日に出ています。検証したのは二つの境界です。

VM隔離と、ネットワーク閉じ込め。この二つは別々のセキュリティ境界として評価すべきだ、というのがレポートの主張です。

室谷代表取締役

実験の設計がしっかりしていて、9つのモデル構成にゲストVM内のroot権限を与えて、ホスト側の秘密の取得か、ブロックされたネットワーク宛先への到達を試させる。結果が、VMからホストへの脱出は108回の試行で観測されなかった、というものです。

テキトー教師DotAI 認定講師

ただし、ここは正確に読みたい。レポート自身が「脱出が観測されなかったことは隔離の証明ではない」と明記しています。

そしてもう一つの境界、ネットワークのほうでは回避が起きた。

室谷代表取締役

そこが重要なところですよね。部分的なネットワークアクセスを与えた条件で、4つのモデルがDNSスプーフィングや共有IPルーティングを通じてネットワーク制限を回避した。

レポートではClaude Opus 5.0、GPT-5.6 Cyber、GPT-5.6 Sol、Kimi K3の4つが挙げられています。

テキトー教師DotAI 認定講師

仕組みを整理するとこうです。SPACEでは、ゲストVMからの外向き通信はすべてネットワークゲートウェイを通り、設定されたポリシーが適用されます。

ポリシーはpypi.orgのようなドメイン名で書かれている一方、パケットにはIPアドレスが入っている。だからゲートウェイは両者を翻訳する必要がある。

• ゲートウェイはまずDNSトラフィックを観測して、ドメイン名とIPアドレスの対応を学習・保存する
• 接続を許可するか判断するとき、宛先IPアドレスを学習済みの対応とポリシーに照らしてチェックする
• 攻撃者はこの設計のずれを突いた。DNSスプーフィングでは、許可ドメインであるpypi.orgにコールバックのIPアドレスを偽って対応づける
• ゲートウェイは応答の実際の送信元を検証しないため、偽の対応を記録してしまう
• 結果として、コールバックへのHTTPSリクエストがpypi.org宛として許可される

室谷代表取締役

ドメイン名でポリシーを書いて、IPアドレスで強制する。この間の翻訳をどう信頼するか、という古典的な穴なんですよね。

しかもDNSスプーフィングが成立するには、偽の応答をゲートウェイがDNSトラフィックを受け取るアドレスに送る必要があって、そこが難所だとレポートは説明しています。

テキトー教師DotAI 認定講師

数字も正確に押さえましょう。ネットワーク回避は、部分ネットワーク条件の54回のうち11回で成功、ネットワークなし条件の54回ではゼロ。

ソースコードへのアクセスがある条件では9モデル中3つが少なくとも1回成功し、Claude Opus 5.0とGPT-5.6 Solは3回すべて成功、Kimi K3は3回中2回で、オープンウェイトのモデルでは唯一の成功だったと報告されています。ソースなし条件ではGPT-5.6 Solが3回中2回、GPT-5.6 Cyberが3回中1回成功しています。

室谷代表取締役

で、Perplexityはこの脆弱性を修正して再検証し、攻撃手法が成功しなくなったことを確認しています。公式ブログでも「特定された攻撃手法はいずれも追試で成功しなかった」と書かれています。

テキトー教師DotAI 認定講師

さらに重要なのが、他社製サンドボックスの評価です。10種を評価して8種が同様のネットワークポリシー回避に脆弱だった。

レポートでは9種の結果を公開し、そのうち7種で少なくとも1回の回避が見られた。1社は公開前により多くの時間を求めたため結果を省略している。

影響を受けたベンダーすべてに開示し、全社から回答を得た、というのが公式の説明です。

室谷代表取締役

自社の修正だけで終わらせず、業界全体の水準を上げるために開示して回ったわけです。ここは評価したいところですね。

テキトー教師DotAI 認定講師

レポートはPart IIも予定されていて、そちらでは評価したモデルの攻撃戦略の違いをより詳しく扱うとされています。

なぜSPACEを公開したのか——Agentic Runtime Platformの狙い

室谷代表取締役

では、なぜPerplexityはこれを公開したのか。公式Xの投稿では「SPACEはPerplexityのAgentic Runtime Platformの最初のコンポーネントであり、エージェント製品のセキュリティ水準を引き上げるためにオープンソース化する」と説明されています。

テキトー教師DotAI 認定講師

公式ブログではもっと踏み込んでいて、「エージェントのガバナンスはエンジニアリングの問題であり、オープンソースはそれを解くために不可欠だ」と述べています。開発者が中身を検査し、適応し、その上に構築できるシステムを持てば、より多くの弱点を見つけて、より良いツールを作れる、という論理です。

室谷代表取締役

背景も効いていて、Perplexityは2026年2月にComputerを投入し、7月に商用サンドボックス提供元を自社製SPACEに置き換えているんですよ。それ以前は外部ベンダーのサンドボックスに依存していて、長時間稼働・状態保持・分岐というエージェント特有の要求に応える基盤が課題だった。

テキトー教師DotAI 認定講師

置き換え後の実績も公式ブログに書かれています。7月以降、SPACEはすべてのComputerセッションを動かし、1日あたり数百万回のサンドボックス作成を処理している。

同じ本番トラフィックでの比較で、サンドボックス作成は以前の提供元より3〜5倍速かった、と。

室谷代表取締役

これは数字として大きいですよね。1日数百万回の作成を、3〜5倍速で。

長時間エージェントを回すほど、環境の作成と復元のコストが効いてくるので。

テキトー教師DotAI 認定講師

公開の動機として、もう一つ文脈があります。PerplexityはSecure Intelligence Instituteを通じてセキュリティ研究を行っていて、これまでにもBrowseSafe、7月にオープンソース化したNumbat、5月のBumblebeeといったツールを公開しています。

SPACEはその流れを、エージェントがコードを実行しファイルを扱う環境にまで広げたものだ、という位置づけです。

室谷代表取締役

エージェントの実行環境そのものを公開するというのは、責任も大きいですけど、その分インパクトも大きい。エージェント基盤を作ろうとしているチームにとっては、隔離・状態復元・認証情報とネットワークの制御が組み込み済みの、実運用で検証された出発点が手に入るわけですからね。

SPACEの料金・提供範囲——日本で使えるか、いつから使えるか

室谷代表取締役

ここは誤解がないように整理しておきたいんですけど、SPACEはApache 2.0のオープンソースソフトウェアとして公開されたもので、Perplexityの有料プランの機能として提供されるものではありません。

テキトー教師DotAI 認定講師

そうですね。公式の発表で「Available now under Apache 2.0」とされているのは、リポジトリが今すぐ入手可能だという意味です。

使う側が自分の環境やクラウドにデプロイして使う形になります。

室谷代表取締役

なので「無料プランで使えるか」「ProやMaxでどうか」といったプラン別の提供範囲は、今回の発表ソースでは説明されていません。SPACEはComputerの内部基盤であって、ユーザーが直接契約する製品として提示されているわけではないんですよね。

テキトー教師DotAI 認定講師

日本で使えるか、いつから使えるかについても、今回の公式発表では明示されていません。ソースで確認できるのは、GitHubで公開されていること、Akamaiが自社クラウドで起動して顧客向けに展開を進めていること、CrusoeがManaged AI Servicesへの追加を進めていること、CoreWeaveがCKS上での評価用セットアップガイダンスを公開していることまでです。

室谷代表取締役

ですので、日本での提供時期や対応状況は現時点では明らかにされていません。ここは推測で書かないほうがいいですね。

テキトー教師DotAI 認定講師

逆に言えば、自分でデプロイする分にはリポジトリが公開された時点で始められる、というのが正確な理解です。

よくある質問

室谷代表取締役

最後に、よく聞かれそうなところを整理しておきますね。

テキトー教師DotAI 認定講師

まず、SPACEとComputerの関係です。SPACEはComputer上で動くサンドボックス基盤であって、Computerそのものではありません。

Computerがエージェント製品で、その中のタスク実行環境がSPACE、という関係です。

室谷代表取締役

次に、SPACEとPerplexityのAgent APIの関係。Agent APIは2026年3月11日に発表された、検索・ツール実行・マルチモデルオーケストレーションを統合したマネージドランタイムです。

SPACEはそのAgentic Runtime Platformの最初のコンポーネントと位置づけられています。

テキトー教師DotAI 認定講師

セキュリティについては、VMからホストへの脱出は108回の試行で観測されず、ネットワーク回避は修正後に再検証して成功しなくなった、というのが公式の説明です。ただしレポート自身が「脱出が観測されなかったことは隔離の証明ではない」としている点は、正確に伝えておきたいですね。

室谷代表取締役

ライセンスはApache 2.0で、商用利用も改変も再配布も可能です。ただしライセンス文書の同梱や変更の明示といった条件は守る必要があります。

テキトー教師DotAI 認定講師

料金やプラン別の提供範囲、日本での提供時期については、今回の発表ソースでは明らかにされていません。ここは続報を待つしかないですね。

室谷代表取締役

エージェントを本番で回そうとしている人にとっては、隔離と状態保持とネットワーク制御がセットで、しかも攻撃検証の結果まで公開されている基盤が出てきたというのは、かなり大きい出来事です。まずはリポジトリとセキュリティガイダンスを読むところから始めるのがよさそうです。