Aravind Srinivas @AravSrinivas

我们的安全团队花了上个月试图攻破 SPACE——这个运行所有 Perplexity Computer 的沙箱平台。我们给了 9 个模型（Opus 5、GPT-5.6 Sol、Kimi K3、Gemini 3.1 Pro 等）在虚拟机内的 root 权限；在某些运行中还给了完整的沙箱源代码。我们要求它们要么逃逸到宿主机，要么访问一个被我们网络策略封锁的 URL。 在 108 次运行中，没有一个模型逃出虚拟机。 但一旦我们允许了一点网络访问（仅仅是 PyPI 和 Ubuntu 镜像，以便它们能安装软件包），有 4 个模型成功访问了被封锁的 URL，方法是： 1. 向我们的网关伪造 DNS 响应，并利用 https://t.co/UtoIWyj1yj 与数千个其他网站共享一个 Fastly IP 这一点。 2. GPT-5.6 Cyber 通过 Taboola 的图片抓取器访问了一个截图服务，然后从图片中 OCR 出了 flag。 我们修复了这两个问题，并确保重跑时依然有效。我们还测试了另外 10 家沙箱提供商，其中 8 家有同样的 IP 共享问题，例如 E2B、Vercel、Modal。 公开分享红队研究是行业建立护栏的最佳方式，我们期待与 @nvidia 合作，将这些护栏纳入他们的开放智能体安全平…