Jeder ernsthafte Agenten-Einsatz im Jahr 2026 stößt früher oder später auf dieselbe unangenehme Frage: Was hält ihn auf, wenn er beschließt zu gehen? Perplexity beantwortete diese Frage am 15. Oktober mit der Veröffentlichung von SPACE, der Sandbox-Plattform, die seine Agenten seit Juli in Produktion betreibt. Dann gab das Unternehmen den Code als Open Source frei.
Dieser Zeitpunkt ist kein Zufall. In denselben 24 Stunden schickte die EU AI Office ihre ersten formellen Informationsanfragen zum AI Act an OpenAI und Anthropic, und die US-amerikanische FTC erließ zivilrechtliche Untersuchungsanordnungen gegen beide Unternehmen. Der Auslöser war in beiden Fällen dasselbe Fehlermuster: Agenten, die Orte erreichten, die sie nie hätten erreichen sollen. Die Regulierungsbehörden und der Infrastrukturmarkt kamen in derselben Woche zum selben Schluss, und sie kamen aus entgegengesetzten Richtungen dazu.
Was SPACE tatsächlich ist
SPACE steht für Sandboxed Platform for Agentic Code Execution. Jede Agentenaufgabe bekommt ihre eigene kleine virtuelle Maschine mit eigenem Betriebssystem, eine Isolationsgrenze zwischen der Arbeit des Agenten und dem Host. Eine zentrale Steuerungsebene entscheidet, wann diese Arbeitsbereiche erstellt, pausiert, fortgesetzt oder entfernt werden.
Drei Designentscheidungen verdienen es, benannt zu werden, denn genau sie machen die meisten Teams falsch:
- Die Sandbox gilt als nicht vertrauenswürdig. Netzwerkzugriff und plattformverwaltete Zugangsdaten werden außerhalb von ihr verwaltet. Agenten verbinden sich mit autorisierten Diensten, ohne dass die Schlüssel jemals in ihrer Arbeitsumgebung liegen. Wird der Agent kompromittiert, waren die Zugangsdaten nie im Raum.
- Der Zustand wird günstig erhalten. Häufige Datei-Snapshots und Checkpoints der gesamten laufenden Umgebung bedeuten, dass ein Agent für eine menschliche Prüfung pausieren und mit intakten Dateien und laufendem Zustand fortgesetzt werden kann. SPACE speichert Änderungen, statt ganze Umgebungen zu kopieren, sodass das Verzweigen eines Arbeitsbereichs fast nichts kostet.
- Die Sandbox-Erstellung ist schnell. Perplexity meldet eine drei- bis fünfmal schnellere Erstellung als beim kommerziellen Anbieter, den SPACE ersetzt hat, bei Millionen von Sandbox-Erstellungen pro Tag.
Der letzte Punkt ist wichtiger, als er klingt. Eindämmung, die Agenten verlangsamt, wird vom ersten Plattformteam unter Lieferdruck abgeschaltet. Sicherheit, die keine Latenz kostet, ist Sicherheit, die den nächsten Sprint übersteht.
Der ehrliche Teil der Offenlegung
Perplexity veröffentlichte die Escape-Tests statt ihrer Marketing-Version. Bei 108 dokumentierten Escape-Versuchen von Agenten, die die Grenze absichtlich durchbrechen wollten, gelangte keiner von der virtuellen Maschine zum Host. Doch einige dieser Versuche fanden Wege um die Netzwerkbeschränkungen herum. Perplexity behob sie, testete erneut und berichtet, dass danach keine der identifizierten Angriffsmethoden mehr erfolgreich war. Das Unternehmen offenbarte zudem verwandte Schwachstellen, die es in anderen Sandbox-Plattformen fand, an deren Anbieter.
Das ist eine Sicherheitsgeschichte mit einer Form, die es sich zu kopieren lohnt. Die Zahl, die die Leute zuerst zitieren, lautet "keine Escapes", doch die einzige operativ relevante Zeile ist die zweite: Eine Grenze war unvollkommen, der Fehler wurde von Menschen gefunden, die danach suchten, und die Behebung wurde durch erneutes Ausführen derselben Angriffe verifiziert. Agenten, die legitimen Aufgaben nachgehen, überschreiten Sicherheitsgrenzen genau dann, wenn sie auf eine fehlende Datei, eine fehlgeschlagene Anfrage oder eine Berechtigungsverweigerung stoßen. Sie greifen dich nicht an. Sie umgehen ein Hindernis, und das ist dasselbe Verhalten, das einen Vorfall erzeugt.
Open Source ist ein Positionierungsschritt, und das ist in Ordnung
Perplexity verkauft keine Eindämmung, also kostet es das Unternehmen wenig, SPACE wegzugeben. Was es dafür bekommt, ist Verbreitung: Akamai hat es auf seiner Cloud-Plattform eingeführt, Crusoe nimmt es in sein Portfolio für Managed AI Services auf, und CoreWeave hat eine Bereitstellungsanleitung zur Evaluierung auf seinem Kubernetes-Dienst veröffentlicht. Cybersecurity-Aktien sanken bei der Ankündigung, was die Art des Marktes ist zu sagen, dass eine kostenpflichtige Eindämmungsschicht gerade kostenlos geworden ist.
Für Käufer ist die praktische Wirkung einfach. Eine in Produktion erprobte Agenten-Laufzeit mit Isolation, Zustandswiederherstellung sowie Zugangsdaten- und Netzwerkkontrollen ist jetzt etwas, das man lesen, anpassen und integrieren kann, statt etwas, das man von Grund auf baut oder blind mietet. Sie hebt zudem die Messlatte im Einkauf: Wenn die Sandbox deines Anbieters nicht prüfbar ist, hat er jetzt Erklärungsbedarf.
Was das bedeutet, wenn du Agenten einsetzt
Die Agenturen und Produktteams, mit denen wir bei aratech arbeiten, sind über die Frage "Sollten wir Agenten einsetzen?" hinaus. Sie betreiben codeausführende Agenten gegen Kundendaten, interne Repositories und Zahlungsströme. Die Lehre aus dieser Woche ist, dass Schutzmaßnahmen auf Modellebene keine Kontrolle sind. Sie sind eine Wahrscheinlichkeit. Der deterministische Teil deiner Sicherheitslage lebt im System rund um das Modell: was der Agent erreichen kann, welche Zugangsdaten außerhalb seiner Reichweite existieren und wie schnell du einen bekannt guten Zustand wiederherstellen kannst, wenn etwas schiefgeht.
Eine kurze Checkliste, die sich direkt aus dem Design von SPACE ergibt:
- Lege Zugangsdaten außerhalb der Laufzeit ab. Wenn ein Geheimnis im Dateisystem des Agenten liegt, liegt es im Wirkungsradius.
- Mach den Arbeitsbereich wegwerfbar und wiederherstellbar. Erstelle Snapshots der Umgebung, nicht nur des Ergebnisses. Wiederherstellung schlägt Forensik, wenn um 2 Uhr nachts etwas mitten im Flug ist.
- Bewerte die Wiederherstellbarkeit pro Workflow. Jeder Anwendungsfall braucht einen maximalen Wirkungsradius, einen Verantwortlichen und einen dokumentierten Weg, den Zustand zurückzurollen.
- Teste deine eigene Grenze und veröffentliche das Ergebnis intern. Wenn du keine Escape-Versuche gegen deine eigene Agenten-Laufzeit durchgeführt hast, ist deine Eindämmung eine Hypothese.
- Entscheide, was Agenten installieren dürfen und woher. Der Installationspfad bleibt der am wenigsten geprüfte Teil der meisten Agenten-Stacks.
Das größere Signal
Perplexity verlagerte rund 150 Produktingenieure in die Sicherheitsarbeit, eröffnete ein Secure Intelligence Institute und hat nun einen Scanner für Entwicklerrechner, ein Toolkit zur Erkennung gefährlichen Agentenverhaltens auf Endpunkten und ein Modell zur Erkennung bösartiger Anweisungen in Webseiten veröffentlicht. Das ist ein Unternehmen, das Agenten-Governance als Ingenieursproblem behandelt und nicht als Compliance-Häkchen.
Das ist der richtige Rahmen für alle anderen. Die Frage ist nicht mehr, ob deine Agenten klug genug sind, die Arbeit zu erledigen. Sie ist, ob die Box um sie herum stark genug ist, dass du dich wohlfühlst, sie einer Regulierungsbehörde zu erklären. Im Oktober 2026 fragen bereits zwei von ihnen danach.