Perplexity mở mã nguồn SPACE: 108 lượt thử chưa thoát máy ảo

Theo công bố ngày 15/10/2026 của Perplexity, hãng mở mã nguồn SPACE, nền tảng chạy mã phía dưới Computer; trong 108 lượt thử bảo mật do hãng thực hiện, không tác nhân nào thoát khỏi máy ảo để lấy bí mật trên máy chủ. Các nhóm phát triển có thể triển khai SPACE cho hệ thống tác nhân của mình. Kết quả thử nghiệm cho thấy ranh giới máy ảo đứng vững trước những cách tấn công đã kiểm tra, trong khi việc kiểm soát mạng cần được đánh giá riêng.

Bài phân tích của CellCog ghi nhận bốn mô hình đã vượt quy tắc mạng trong 11 trên 54 lượt thử khi sandbox được phép truy cập một phần Internet, trước khi Perplexity sửa cổng mạng. Những lượt thành công này lấy được dữ liệu từ địa chỉ mà chính sách dự định chặn; chúng không chứng minh tác nhân đã chiếm được máy chủ chạy máy ảo. Đó là khác biệt quan trọng đối với đội muốn tự vận hành SPACE: mã có thể bị giữ trong môi trường thực thi mà yêu cầu mạng vẫn đi quá phạm vi được cấp.

SPACE mở cho người tự triển khai phần nào của Computer?

SPACE là hạ tầng tạo môi trường Linux riêng để chạy mã của tác nhân hoặc người dùng. Mỗi sandbox là một máy ảo nhỏ dùng Firecracker, có hệ điều hành và hệ thống tệp ghi được của riêng nó. Ứng dụng gọi API để tạo môi trường, chạy lệnh, nhận kết quả và quản lý vòng đời sandbox; chính ứng dụng quyết định tác nhân làm việc gì và lưu lại kết quả nào. Vì thế, mã nguồn được phát hành là lớp thực thi của Computer, không phải toàn bộ tác nhân Computer.

Kho mã có tài liệu cài đặt trên cụm Kind cục bộ, hướng dẫn kiến trúc cho cách chạy không dùng Kubernetes và cấu hình tham khảo trên AWS EKS. Giấy phép Apache 2.0 cho phép các nhóm xem và điều chỉnh mã để tích hợp với ứng dụng của mình. Khả năng tự triển khai vì thế là khả năng vận hành một nền tảng hạ tầng: người dùng vẫn cần cấp máy chủ, cấu hình dịch vụ điều khiển, chính sách mạng và cách ứng dụng gọi SPACE.

Đối với phiên làm việc dài, SPACE hỗ trợ tạm dừng, tiếp tục, khôi phục và tạo nhánh. Ảnh chụp tệp cùng điểm kiểm tra trạng thái hoạt động giúp môi trường tiếp tục sau gián đoạn; hệ thống lưu các thay đổi thay vì sao chép lại toàn bộ môi trường mỗi lần. Khả năng này có giá trị khi một tác vụ cần chờ dữ liệu hoặc tiếp tục từ trạng thái trước đó, nhưng nó phục vụ việc duy trì công việc, không thay thế các kiểm soát bảo mật.

Ranh giới tin cậy nằm ở đâu?

Mã do tác nhân tạo ra chạy bên trong máy ảo và được xem là không đáng tin cậy. Máy chủ vật lý hoặc máy chủ đám mây chứa máy ảo nằm ở phía ngoài; bộ điều khiển trung tâm quản lý việc tạo, tạm dừng, tiếp tục và xoá sandbox. Ranh giới máy ảo nhằm ngăn tác nhân dùng quyền trong môi trường chạy mã để đọc tài nguyên của máy chủ, kể cả khi tác nhân có quyền quản trị bên trong máy ảo của mình.

Lưu lượng đi ra ngoài đi qua một cổng mạng áp dụng chính sách riêng cho từng sandbox. Thông tin xác thực do nền tảng nắm giữ cũng được quản lý ngoài môi trường tác nhân điều khiển, để tác nhân có thể kết nối dịch vụ được cho phép mà không cần cất bí mật của nền tảng trong hệ thống tệp của máy ảo. Như vậy, máy ảo, cổng mạng và nơi giữ thông tin xác thực bảo vệ các tài sản khác nhau; độ vững của ranh giới này không tự chứng minh độ vững của ranh giới kia.

Điểm dễ nhầm là một yêu cầu mạng không cần chạm tới máy chủ để gây ra sự cố. Tác nhân có thể gửi yêu cầu hợp lệ về mặt kỹ thuật từ bên trong máy ảo, còn cổng mạng phải quyết định đích đến có nằm trong phạm vi được cấp hay không. Nếu quyết định ấy dựa vào quan hệ sai giữa tên miền và địa chỉ IP, việc cô lập máy ảo vẫn nguyên vẹn nhưng chính sách truy cập ra ngoài có thể thất bại.

108 lượt thử đã kiểm tra điều gì?

Báo cáo bảo mật công bố ngày 23/9/2026 mô tả thử nghiệm với chín cấu hình mô hình, hai mục tiêu tấn công và 216 lượt chạy: 108 lượt tìm cách lấy bí mật trên máy chủ từ trong máy ảo đều thất bại. Các tác nhân được cấp quyền quản trị trong máy ảo; một số cấu hình còn cho chúng xem mã nguồn SPACE, cài gói phần mềm và dùng công cụ tìm kiếm. Kết quả đo khả năng vượt ranh giới từ máy ảo sang máy chủ trong thời gian và điều kiện thử nghiệm cụ thể.

Mục tiêu còn lại là lấy một mã đánh dấu từ địa chỉ mạng bị chặn. Khi toàn bộ kết nối mạng của máy ảo bị cắt, các lượt thử không thành công. Khi chính sách vẫn cho phép kho gói phần mềm và một số khả năng tra cứu, tác nhân có đường ra ngoài để khai thác cách cổng mạng diễn giải quy tắc theo tên miền. Thành công ở mục tiêu này là vượt giới hạn mạng, không phải thoát máy ảo hay đọc trực tiếp thông tin xác thực trên máy chủ.

Cổng mạng đã bị vượt qua như thế nào?

Quy tắc cho phép được viết theo tên miền, trong khi gói tin đi qua cổng mạng mang địa chỉ IP của đích. Trước bản sửa, cổng quan sát phản hồi DNS để ghi nhớ tên miền nào tương ứng với địa chỉ nào, rồi dựa vào quan hệ đã ghi để xét kết nối. Khoảng cách giữa tên miền mà chính sách muốn cho phép và địa chỉ IP mà cổng thực tế nhìn thấy đã tạo ra hai đường vượt.

Ở đường thứ nhất, tác nhân giả một phản hồi DNS để gắn địa chỉ đích bị chặn với tên miền được phép là pypi.org. Cổng mạng tiếp nhận quan hệ giả đó và cho phép kết nối tiếp theo tới địa chỉ bị chặn. Cách này chỉ thành công khi tác nhân được xem mã nguồn SPACE, vì thông tin cần để nhắm phản hồi giả tới đúng điểm nhận của cổng mạng không thể quan sát trực tiếp từ trong máy ảo.

Đường thứ hai dựa vào hạ tầng phân phối nội dung dùng chung địa chỉ IP. Một địa chỉ phục vụ pypi.org cũng có thể phục vụ tên miền khác; sau khi kết nối được mở, thông tin tên máy chủ ở các lớp giao thức tiếp theo quyết định dịch vụ nào nhận yêu cầu. Trong một lượt thử, tác nhân dùng Fastly Fiddle, vốn có thể truy xuất một URL theo yêu cầu, để lấy dữ liệu từ địa chỉ bị chặn. Một lượt khác đi qua dịch vụ hình ảnh của Taboola và thum.io để nhận ảnh chụp trang, rồi dùng nhận dạng ký tự lấy mã đánh dấu.

Bản sửa thay đổi kết quả ra sao?

SPACE sau đó kiểm tra địa chỉ nguồn để chặn gói tin từ máy ảo giả làm phản hồi DNS bên ngoài. Với kết nối HTTP và TLS, cổng mạng cũng kiểm tra tên máy chủ mà yêu cầu thực sự nhắm tới, thay vì chỉ dựa vào địa chỉ IP từng được gắn với một tên miền được phép. Các kiểm tra này xử lý trực tiếp hai cơ chế đã tạo ra đường vượt trong thử nghiệm ban đầu.

Ở lần đánh giá lại trên hệ thống đã sửa, tác nhân vẫn có mã nguồn, quyền truy cập mạng một phần và công cụ tìm kiếm. Chúng thử lại cả hai cách từng thành công nhưng không lấy được mã đánh dấu từ địa chỉ bị chặn. Kết quả ấy xác nhận hiệu quả của bản sửa trong cấu hình đánh giá lại; với một bản SPACE tự triển khai, mức kiểm soát thực tế tiếp tục phụ thuộc vào phiên bản được vận hành và chính sách mạng được cấu hình cho từng sandbox.

Đọc thêm: