Perplexity, 자사 에이전트용 마이크로VM 샌드박스 SPACE 오픈소스 공개

왜 지금 이 주제인가

Perplexity가 2026년 10월 15일, 자사의 상시 작동 에이전트 Computer를 7월부터 운영해 온 샌드박스 플랫폼 SPACE를 Apache License 2.0으로 공개했습니다. 에이전트가 임의의 코드를 실행하게 하면서도 호스트 시스템과 자격 증명을 지키는 격리 기술은 최근 여러 회사가 자체적으로 구축해 온 영역인데, 이번 공개는 실제 상용 트래픽에서 검증된 구현체를 코드와 함께 내놓았다는 점에서 눈여겨볼 만합니다. 에이전트가 파일을 쓰고 명령을 실행하는 범위가 넓어질수록 격리 인프라의 중요성도 커지는 흐름과 맞닿아 있습니다.

핵심 내용

SPACE는 “Sandboxed Platform for Agentic Code Execution”의 줄임말로, Perplexity의 개인 에이전트 제품 Computer의 모든 세션을 2026년 7월부터 실제로 구동해 온 플랫폼입니다. 깃허브 저장소 설명에 따르면 플러그인 방식의 런타임 위에서 에이전트와 사용자 코드를 격리해 실행하는 샌드박스 플랫폼이며, 애플리케이션은 HTTP API를 통해 리눅스 환경을 생성하고, 명령 세션을 실행하고 출력을 수집하며, 샌드박스의 생명주기를 비동기적으로 관리할 수 있습니다.

기술적 핵심은 AWS가 개발한 가상화 기술인 Firecracker 마이크로VM입니다. 각 SPACE 샌드박스는 자체 운영체제를 가진 작은 가상머신 하나에서 실행됩니다. 이는 컨테이너보다 격리 수준이 높으면서도 일반 가상머신보다 훨씬 빠르게 뜨는 방식입니다. 워크스페이스의 생성, 일시중지, 재개, 삭제는 중앙 제어 평면이 조율하며, 네트워크 접근과 자격 증명은 샌드박스 내부가 아니라 외부에서 관리됩니다. 즉 에이전트가 승인된 외부 서비스를 호출할 수는 있지만, 그 키 자체는 에이전트의 작업 공간에 존재하지 않는 구조입니다. 장시간 실행되는 상태 기반 에이전트 작업을 위해 잦은 파일 스냅숏과 실행 환경 전체의 체크포인트도 지원해, 작업을 일시중지했다가 나중에 그대로 복원하거나 분기할 수 있습니다.

Perplexity는 공개와 함께 자체 보안 테스트 결과도 밝혔습니다. 여러 모델을 동원해 가상머신 탈출을 시도한 108회의 공격에서 탈출에 성공한 사례는 없었다고 밝혔습니다. 다만 테스트 과정에서 일부 모델이 네트워크 접근 제한 규칙을 우회하는 방법을 찾아냈고, Perplexity는 이를 발견한 뒤 게이트웨이를 수정했습니다. 수정 이후 재테스트에서는 동일한 우회 방법이 모두 막혔다고 설명합니다.

성능 측면에서는 SPACE가 하루 수백만 건의 샌드박스 생성을 처리하고 있으며, 기존에 사용하던 상용 제공업체 대비 샌드박스 생성 속도가 3배에서 5배 빨라졌다고 밝혔습니다.

Perplexity는 이 플랫폼을 클라우드 인프라 업체들과의 협력을 통해 외부로도 확장할 계획입니다. Akamai는 자사 클라우드 플랫폼에 SPACE를 통합해 고객에게 제공하기로 했고, Crusoe는 매니지드 AI 서비스 포트폴리오에 SPACE를 추가했으며, CoreWeave는 자사 쿠버네티스 서비스 위에 SPACE를 배포하는 가이드를 발행했습니다.

의미와 한계

이번 공개는 에이전트 격리 기술이 개별 회사의 내부 인프라를 넘어 업계가 공유하는 기반 기술로 자리잡는 흐름을 보여줍니다. 실제 상용 서비스에서 수개월간 검증된 코드를 공개했다는 점은, 아직 자체 샌드박스 인프라를 갖추지 못한 다른 에이전트 개발사나 클라우드 사업자가 이를 그대로 가져다 쓸 수 있다는 뜻입니다. 클라우드 업체들과의 파트너십이 이어진다면 SPACE가 Firecracker 기반 에이전트 샌드박스의 사실상 표준 구현 중 하나로 자리잡을 가능성도 있습니다.

다만 한계도 분명합니다. 108회의 공격 시도에서 탈출이 없었다는 결과는 Perplexity 자체 테스트의 결과이며, 외부 독립 기관의 검증을 거친 수치는 아닙니다. 또한 네트워크 규칙 우회가 실제로 발견됐다는 사실은 격리 경계의 설계가 처음부터 완벽하지 않았음을 보여주며, 공개된 코드를 다른 환경에 적용했을 때도 똑같이 안전하다는 보장은 없습니다. 하루 수백만 건이라는 운영 규모나 3~5배라는 속도 개선 수치도 Perplexity의 특정 이전 제공업체와 비교한 결과여서, 다른 조건에서는 다른 결과가 나올 수 있습니다.

한 줄 정리

Perplexity가 자사 에이전트를 7월부터 격리해 온 Firecracker 기반 샌드박스 SPACE를 오픈소스로 공개하고, 108회 탈출 시도에서 성공 사례가 없었다는 보안 테스트 결과를 함께 내놓았습니다.