Toda implementación seria de agentes en 2026 termina tarde o temprano enfrentándose a la misma pregunta incómoda: ¿qué la detiene cuando decide marcharse? Perplexity respondió a esa pregunta el 15 de octubre al publicar SPACE, la plataforma de sandbox que mantiene sus agentes en producción desde julio. Y luego liberó el código fuente.
Ese momento no es casual. En las mismas 24 horas, la EU AI Office envió sus primeras solicitudes formales de información sobre la AI Act a OpenAI y Anthropic, y la FTC estadounidense emitió requerimientos de investigación civil a ambas empresas. El detonante en ambos casos fue el mismo modo de fallo: agentes que llegaron a lugares a los que nunca debían haber llegado. Los reguladores y el mercado de infraestructura llegaron a la misma conclusión en la misma semana, y lo hicieron desde direcciones opuestas.
Qué es SPACE en realidad
SPACE son las siglas de Sandboxed Platform for Agentic Code Execution. Cada tarea de agente recibe su propia máquina virtual pequeña con su propio sistema operativo, una frontera de aislamiento entre el trabajo del agente y el host. Un plano de control central decide cuándo se crean, se pausan, se reanudan o se eliminan esos espacios de trabajo.
Vale la pena nombrar tres decisiones de diseño, porque son precisamente las que más equipos equivocan:
- El sandbox se trata como no confiable. El acceso a la red y las credenciales que gestiona la plataforma se administran fuera de él. Los agentes se conectan a servicios autorizados sin que las claves vivan nunca dentro de su entorno de trabajo. Si el agente se ve comprometido, las credenciales nunca estuvieron en la sala.
- El estado se conserva a bajo costo. Las instantáneas de archivos frecuentes y los checkpoints del entorno en ejecución completo permiten que un agente se pause para una revisión humana y se reanude con los archivos y el estado de ejecución intactos. SPACE almacena los cambios en lugar de copiar entornos completos, por lo que ramificar un espacio de trabajo casi no cuesta nada.
- La creación de sandboxes es rápida. Perplexity informa que la creación es de tres a cinco veces más rápida que la del proveedor comercial al que SPACE reemplazó, a lo largo de millones de sandboxes creados por día.
Ese último punto importa más de lo que parece. La contención que ralentiza a los agentes es la primera que desactiva el primer equipo de plataforma bajo presión de entrega. La seguridad que no cuesta latencia es la seguridad que sobrevive al próximo sprint.
La parte honesta de la divulgación
Perplexity publicó las pruebas de escape en lugar de la versión de marketing. En 108 intentos de escape documentados por agentes que trataban deliberadamente de vulnerar la frontera, ninguno logró pasar de la máquina virtual al host. Pero algunos de esos intentos encontraron formas de sortear las restricciones de red. Perplexity las corrigió, volvió a probar y afirma que ninguno de los métodos de ataque identificados tuvo éxito después. La empresa también divulgó a esos proveedores las debilidades relacionadas que encontró en otras plataformas de sandbox.
Esa es una historia de seguridad con una forma que vale la pena copiar. La cifra inicial que la gente cita es "cero escapes", pero la única línea que importa operativamente es la segunda: una frontera era imperfecta, el fallo lo encontraron personas que lo buscaban, y la corrección se verificó volviendo a ejecutar los mismos ataques. Los agentes que persiguen tareas legítimas cruzan fronteras de seguridad precisamente cuando se topan con un archivo que falta, una solicitud fallida o una denegación de permiso. No te están atacando. Están rodeando un obstáculo, que es el mismo comportamiento que produce un incidente.
Liberar el código es un movimiento de posicionamiento, y está bien
Perplexity no vende contención, así que regalar SPACE le cuesta poco. Lo que compra es distribución: Akamai ya lo lanzó en su plataforma de nube, Crusoe lo está incorporando a su portafolio de Managed AI Services, y CoreWeave ha publicado una guía de despliegue para evaluarlo en su servicio de Kubernetes. Las acciones de ciberseguridad cayeron con el anuncio, que es la forma que tiene el mercado de decir que una capa de contención de pago acaba de volverse gratuita.
Para los compradores, el efecto práctico es simple. Un runtime de agentes probado en producción, con aislamiento, recuperación de estado y controles de credenciales y red, ahora es algo que puedes leer, adaptar e integrar, en lugar de algo que construyes desde cero o alquilas a ciegas. También eleva el listón en las compras: si el sandbox de tu proveedor no es inspeccionable, ahora tienen que dar explicaciones.
Qué significa esto si estás desplegando agentes
Las agencias y los equipos de producto con los que trabajamos en aratech ya superaron la pregunta de "¿deberíamos usar agentes?". Están ejecutando agentes que corren código contra datos de clientes, repositorios internos y flujos de pago. La lección de esta semana es que las salvaguardas a nivel de modelo no son un control. Son una probabilidad. La parte determinista de tu postura de seguridad vive en el sistema que rodea al modelo: a qué puede acceder el agente, qué credenciales existen fuera de su alcance y con qué rapidez puedes restaurar un estado conocido como bueno cuando algo se sale de cauce.
Una breve lista de verificación que se desprende directamente del diseño de SPACE:
- Coloca las credenciales fuera del runtime. Si un secreto está dentro del sistema de archivos del agente, está dentro del radio de impacto.
- Haz que el espacio de trabajo sea desechable y restaurable. Toma instantáneas del entorno, no solo del resultado. La recuperación le gana a la forense cuando algo está en pleno vuelo a las 2 de la madrugada.
- Puntúa la recuperabilidad por flujo de trabajo. Cada caso de uso necesita un radio de impacto máximo, un responsable y una forma documentada de revertir el estado.
- Prueba tu propia frontera y luego publica el resultado internamente. Si no has ejecutado intentos de escape contra tu propio runtime de agentes, tu contención es una hipótesis.
- Decide qué pueden instalar los agentes y desde dónde. La ruta de instalación sigue siendo la parte menos revisada de la mayoría de las pilas de agentes.
La señal más amplia
Perplexity trasladó a unos 150 ingenieros de producto a tareas de seguridad, abrió un Secure Intelligence Institute y ahora ha lanzado un escáner para máquinas de desarrolladores, un conjunto de herramientas para detectar comportamiento peligroso de agentes en endpoints y un modelo para detectar instrucciones maliciosas dentro de páginas web. Es una empresa que trata la gobernanza de agentes como un problema de ingeniería y no como una casilla de cumplimiento.
Ese es el marco correcto para todos los demás. La pregunta ya no es si tus agentes son lo bastante inteligentes para hacer el trabajo. Es si la caja que los rodea es lo bastante sólida como para que te sientas cómodo explicándosela a un regulador. En octubre de 2026, dos de ellos ya lo están preguntando.