O Sandbox Que Deixa de Existir: SPACE da Perplexity e Efemeridade como Primitiva de Controle

A Perplexity lançou neste mês o SPACE, uma plataforma de sandbox para agentes de IA que lidam com dados sensíveis. A decisão de design que merece estudo está no ciclo de vida, antes de qualquer lista de funcionalidades. Cada sandbox é criado para uma tarefa e destruído quando a tarefa termina. Segundo o anúncio, o ambiente em que o agente trabalha simplesmente deixa de existir quando o trabalho acaba.

Essa escolha carrega mais peso de governança do que o resto da plataforma somado. Um ambiente que já foi destruído é incapaz de vazar dados depois. É incapaz de ser comprometido na semana seguinte, porque para ele a semana seguinte nunca chega. O que quer que um prompt injetado tenha convencido o agente a guardar para uso futuro evaporou junto com o sistema de arquivos onde foi guardado.

Já argumentamos que sandboxing move a confiança de por-ação para por-ambiente. O SPACE é uma implementação viva para testar esse enquadramento, e ele expõe algo que a taxonomia deixou sem nome: o eixo do tempo.

O Que a Perplexity Lançou

Conforme descrito no anúncio, o SPACE é construído sobre três camadas de segurança. Um Control Plane governa orquestração e política de fora do ambiente de execução. Serviços em nível de nó impõem fronteiras nas máquinas onde os sandboxes rodam. Proteções internas ao sandbox endurecem o ambiente que o agente de fato toca. Em volta desse núcleo, a plataforma adiciona forking de sessão, isolamento de credenciais que mantém segredos fora do sandbox controlado pelo modelo, e suporte a implantação on-prem e totalmente offline.

A Perplexity também afirma que o SPACE elimina o trade-off entre funcionalidade, eficiência e segurança que limita as soluções de sandbox existentes. É uma declaração de fornecedor sobre um problema difícil de engenharia, e a própria página resiste a escrutínio independente por enquanto. Trate como afirmação a verificar na sua avaliação, e considere que a arquitetura é legível mesmo sem o benchmark: enforcement em camadas, segredos fora do raio de dano, ambientes que morrem em horário marcado.

O suporte offline e on-prem merece uma nota. Uma plataforma de sandbox que roda desconectada mira cargas jurídicas, financeiras e de saúde, nas quais os dados estão proibidos de transitar pela nuvem do fornecedor. É um sinal deliberado de mercado sobre quem a Perplexity acredita que vai pagar por contenção.

A Taxonomia Encontra uma Implementação

Nosso levantamento anterior sobre o padrão de contenção catalogou as abordagens de sandboxing em produção na indústria: primitivas de sistema operacional, kernels em espaço de usuário, microVMs e camadas de política acima delas. Toda abordagem daquele catálogo responde a uma pergunta espacial. O que este processo pode tocar? Quais syscalls, quais arquivos, quais rotas de rede?

O SPACE combina vários daqueles padrões ao mesmo tempo. O design em três camadas é defesa em profundidade no eixo espacial: política no control plane, enforcement no nó, endurecimento dentro do ambiente. Nada ali estende a taxonomia; são jogadas conhecidas, empilhadas.

A efemeridade é a extensão. A taxonomia perguntava o que um agente pode tocar. O SPACE também fixa por quanto tempo a superfície tocada existe. São dimensões de controle diferentes, e a segunda vinha faltando silenciosamente na maioria das conversas sobre sandbox.

Um sandbox persistente acumula estado. Tokens em cache. Arquivos temporários da tarefa quarenta e um ainda legíveis durante a tarefa cinquenta e dois. Caches de pacotes que uma dependência envenenada escreveu na segunda-feira e outro agente leu na quinta. Cada um desses itens é uma ponte entre tarefas, e pontes entre tarefas são exatamente o que um atacante que compromete parcialmente uma sessão precisa para alcançar a próxima. Destruir o ambiente após cada tarefa queima todas as pontes num cronograma que o defensor controla.

Efemeridade É uma Primitiva de Controle

Times de segurança já confiam nesse princípio na camada de identidade. Credenciais de curta duração vencem segredos estáticos porque a janela de utilidade de uma credencial roubada encolhe rumo a zero. A federação de identidade de workload, que percorremos no andar de identidade do stack de contenção, repousa inteira nessa lógica: a credencial é um artefato transitório, derivado no momento do uso, inútil uma hora depois.

Um sandbox efêmero aplica a mesma lógica à computação. O ambiente é um artefato transitório, derivado para a tarefa, inútil depois dela. Persistência é a propriedade da qual atacantes dependem, seja a coisa persistente uma credencial, um ponto de apoio ou um diretório de rascunho. A efemeridade remove a propriedade em si, em vez de montar guarda ao redor dela.

O forking de sessão, segundo o anúncio, estende a ideia para os lados. Ramificar uma sessão em uma cópia nova, preservando a original intacta, significa que a exploração acontece em ramos descartáveis. Um caminho ruim é abandonado junto com seu ambiente. A linhagem do que levou a qualquer estado final permanece reconstruível, que é o que um auditor pede e o que ambientes mutáveis de longa vida destroem em silêncio.

O isolamento de credenciais completa o quadro e responde à ameaça que tira o sono dos times de plataforma de agentes: prompt injection. Uma instrução injetada pode fazer o agente abusar do que estiver dentro do ambiente dele. Um segredo que nunca esteve no ambiente fica fora do alcance de qualquer instrução. Manter credenciais fora do sandbox controlado pelo modelo, intermediadas por infraestrutura que o modelo é incapaz de instruir, converte “o agente foi enganado” de violação em incidente.

Observe Quem Está Lançando Isso

A Perplexity é uma empresa de motor de respostas para consumidor. A receita dela vem de pessoas fazendo perguntas, e ela acaba de lançar infraestrutura corporativa de contenção em camadas, com modos de implantação offline.

Contenção costumava ser vendida como ferramenta de compliance, algo que compradores exigiam e fornecedores documentavam a contragosto. Agora está sendo construída como produto, uma capacidade com a qual fornecedores abrem a conversa. A Anthropic roda gVisor e Bubblewrap sob seus produtos de agentes. A Vercel inicia microVMs Firecracker para execução em sandbox. Esses exemplos ancoraram o andar de computação quando mapeamos a superfície mais ampla em abril. O SPACE adiciona um novo ponto de dados vindo de uma direção inesperada, e a direção é a história. Quando empresas de fora do negócio de infraestrutura começam a competir em arquitetura de isolamento, a contenção cruzou de centro de custo para argumento de venda.

Para compradores, isso muda a pergunta da avaliação. O mercado começa a oferecer propriedades de contenção como diferencial, o que significa que você pode exigi-las na compra em vez de construí-las por conta própria. Ciclo de vida do sandbox, intermediação de credenciais e linhagem de auditoria pertencem à mesma seção do RFP que o uptime.

Faça Isto Agora

Rode uma revisão de uma hora do seu runtime de agentes, seja ele qual for, contra duas perguntas.

Primeira: quanto tempo um ambiente de execução vive depois que a tarefa termina? Se os sandboxes persistem entre tarefas, inventarie o que se acumula dentro deles: caches, arquivos temporários, tokens, estado de pacotes. Cada item dessa lista é superfície de ataque entre tarefas. Decida deliberadamente quais itens justificam a persistência e destrua o resto por padrão. Se a sua plataforma é incapaz de destruir ambientes por tarefa, registre isso como limitação conhecida, com um dono.

Segunda: quais segredos existem dentro do ambiente enquanto o agente roda? Tudo o que o modelo consegue ler, um prompt injetado pode tentar exfiltrar. Mova credenciais para trás de um broker fora do sandbox, emita-as com vida curta e escopo por operação, e confirme que o ambiente do agente guarda apenas o que perde o valor junto com ele.

Times que já rodam a revisão de quatro andares do stack de contenção devem adicionar ciclo de vida como linha explícita no andar de computação. O conjunto de perguntas cresce em uma entrada: para cada ambiente que um agente ocupa, quando ele deixa de existir? Se a resposta honesta for “nunca”, você já sabe exatamente por onde começar.

Fontes

Perplexity AI. “Secure Sandboxes for Agents.” Julho de 2026.

A Victorino ajuda organizações de engenharia a desenhar arquiteturas de contenção de agentes em que isolamento, intermediação de credenciais e ciclo de vida de ambientes são governados por padrão: contato@victorino.com.br | www.victorino.com.br