Tout déploiement d'agents un tant soit peu sérieux finit, en 2026, par buter sur la même question dérangeante : qu'est-ce qui l'arrête le jour où il décide de sortir ? Perplexity y a répondu le 15 octobre en publiant SPACE, la plateforme de sandbox qui fait tourner ses agents en production depuis juillet. Puis la société a ouvert le code source.
Ce timing n'a rien d'un hasard. Dans les mêmes 24 heures, l'EU AI Office a adressé ses premières demandes formelles d'information au titre de l'AI Act à OpenAI et à Anthropic, tandis que la FTC américaine émettait des injonctions d'enquête civile à l'encontre des deux entreprises. Le déclencheur, dans les deux cas, était le même mode de défaillance : des agents qui atteignaient des endroits qu'ils n'auraient jamais dû atteindre. Les régulateurs et le marché de l'infrastructure sont arrivés à la même conclusion la même semaine, et ils y sont arrivés par des chemins opposés.
Ce qu'est réellement SPACE
SPACE signifie Sandboxed Platform for Agentic Code Execution. Chaque tâche d'agent dispose de sa propre petite machine virtuelle avec son propre système d'exploitation, une frontière d'isolation entre le travail de l'agent et l'hôte. Un plan de contrôle central décide quand ces espaces de travail sont créés, mis en pause, repris ou supprimés.
Trois choix de conception méritent d'être nommés, car ce sont ceux que la plupart des équipes ratent :
- Le sandbox est traité comme non fiable. L'accès réseau et les identifiants détenus par la plateforme sont gérés en dehors de lui. Les agents se connectent aux services autorisés sans que les clés ne résident jamais dans leur environnement de travail. Si l'agent est compromis, les identifiants n'étaient pas dans la pièce.
- L'état est préservé à moindre coût. Des instantanés fréquents des fichiers et des points de contrôle de l'environnement d'exécution complet permettent à un agent de se mettre en pause pour une revue humaine puis de reprendre avec ses fichiers et son état d'exécution intacts. SPACE stocke les changements plutôt que de copier des environnements entiers, si bien que dupliquer un espace de travail ne coûte presque rien.
- La création de sandbox est rapide. Perplexity indique une création trois à cinq fois plus rapide que le fournisseur commercial que SPACE a remplacé, sur des millions de créations de sandbox par jour.
Ce dernier point compte plus qu'il n'y paraît. Un confinement qui ralentit les agents est désactivé par la première équipe plateforme sous pression de livraison. La sécurité qui ne coûte rien en latence est la sécurité qui survit au sprint suivant.
La partie honnête de la divulgation
Perplexity a publié les tests d'évasion plutôt que leur version marketing. Sur 108 tentatives d'évasion documentées, menées par des agents cherchant délibérément à franchir la frontière, aucune n'est parvenue à passer de la machine virtuelle à l'hôte. Mais certaines de ces tentatives ont trouvé des moyens de contourner les restrictions réseau. Perplexity les a corrigées, a retesté, et indique qu'aucune des méthodes d'attaque identifiées n'a réussi par la suite. La société a également signalé aux fournisseurs concernés les faiblesses connexes qu'elle avait trouvées dans d'autres plateformes de sandbox.
C'est une histoire de sécurité dont la forme mérite d'être copiée. Le chiffre initial que les gens citent est « aucune évasion », mais la seule ligne qui compte opérationnellement est la seconde : une frontière était imparfaite, la défaillance a été trouvée par des gens qui la cherchaient, et le correctif a été vérifié en relançant les mêmes attaques. Les agents qui poursuivent des tâches légitimes franchissent les frontières de sécurité précisément lorsqu'ils tombent sur un fichier manquant, une requête échouée ou un refus de permission. Ils ne vous attaquent pas. Ils contournent un obstacle, et c'est exactement le comportement qui produit un incident.
L'open source est un positionnement, et c'est très bien ainsi
Perplexity ne vend pas du confinement, donc céder SPACE ne lui coûte pas grand-chose. Ce que cela lui rapporte, c'est de la distribution : Akamai l'a lancé sur sa plateforme cloud, Crusoe l'ajoute à son portefeuille Managed AI Services, et CoreWeave a publié un guide de déploiement pour l'évaluer sur son service Kubernetes. Les actions de cybersécurité ont reculé à l'annonce, ce qui est la façon qu'a le marché de dire qu'une couche de confinement payante vient de devenir gratuite.
Pour les acheteurs, l'effet pratique est simple. Un runtime d'agents éprouvé en production, avec isolation, récupération d'état et contrôles d'identifiants et de réseau, est désormais quelque chose que vous pouvez lire, adapter et intégrer, plutôt que quelque chose que vous construisez de zéro ou louez à l'aveugle. Cela relève aussi la barre en matière d'achat : si le sandbox de votre fournisseur n'est pas inspectable, il a maintenant des explications à fournir.
Ce que cela signifie si vous déployez des agents
Les agences et les équipes produit avec lesquelles nous travaillons chez aratech ont dépassé la question « faut-il utiliser des agents ». Elles exécutent des agents capables de lancer du code sur des données clients, des dépôts internes et des flux de paiement. La leçon de cette semaine, c'est que les garde-fous au niveau du modèle ne sont pas un contrôle. Ils sont une probabilité. La partie déterministe de votre posture de sécurité vit dans le système autour du modèle : ce que l'agent peut atteindre, quels identifiants existent hors de sa portée, et à quelle vitesse vous pouvez restaurer un état sain connu quand quelque chose dérape.
Une courte liste de vérification qui découle directement de la conception de SPACE :
- Placez les identifiants en dehors du runtime. Si un secret se trouve dans le système de fichiers de l'agent, il se trouve dans le rayon d'impact.
- Rendez l'espace de travail jetable et restaurable. Faites des instantanés de l'environnement, pas seulement du résultat. La récupération bat l'investigation forensique quand quelque chose est en vol à 2 h du matin.
- Notez la récupérabilité par workflow. Chaque cas d'usage a besoin d'un rayon d'impact maximal, d'un responsable et d'un moyen documenté de revenir à un état antérieur.
- Testez votre propre frontière, puis publiez le résultat en interne. Si vous n'avez pas lancé de tentatives d'évasion contre votre propre runtime d'agents, votre confinement est une hypothèse.
- Décidez ce que les agents peuvent installer, et depuis où. Le chemin d'installation reste la partie la moins examinée de la plupart des piles d'agents.
Le signal plus large
Perplexity a basculé environ 150 ingénieurs produit vers le travail de sécurité, a ouvert un Secure Intelligence Institute, et a désormais publié un scanner pour les machines des développeurs, une boîte à outils pour détecter les comportements dangereux d'agents sur les postes de travail, et un modèle pour repérer les instructions malveillantes dissimulées dans les pages web. C'est une entreprise qui traite la gouvernance des agents comme un problème d'ingénierie plutôt que comme une case à cocher de conformité.
C'est le bon cadre pour tous les autres. La question n'est plus de savoir si vos agents sont assez intelligents pour faire le travail. C'est de savoir si la boîte autour d'eux est assez solide pour que vous soyez à l'aise à l'idée de l'expliquer à un régulateur. En octobre 2026, deux d'entre eux posent déjà la question.