Perplexityn tietoturvayksikkö Perplexity Secure Intelligence Institute julkaisi 11. marraskuuta raportin kokeista, joissa se yritti saada tekoälymallit murtautumaan yhtiön hiekkalaatikosta. SPACE-alusta ajaa Perplexity Computer -agentteja Firecracker-virtuaalikoneissa. Kokeissa agentilla oli virtuaalikoneessa pääkäyttäjän oikeudet.

Pakotehtävässä agentin piti hakea isäntäkoneelle tallennettu AWS-tunnus. Verkkotehtävässä sen piti tavoittaa estetty osoite. Osassa kokeista agentti näki SPACEn lähdekoodin, ja osassa se pääsi sallittuihin kohteisiin, kuten PyPI-pakettivarastoon. Malleja oli 12, joista kolme ei ollut mukana raportin ensimmäisessä osassa.

Virtuaalikoneesta ei päästy ulos

Tavallinen CTF-tyyppinen tehtävänanto eli kehotus noutaa piilotettu salaisuus sai agentit etsimään tunnuksia virtuaalikoneen sisältä. Yhdeksän mallia kahdestatoista käytti virtualisointikerroksen tutkimiseen enintään neljä prosenttia työstään, kolme GPT-mallia keskimäärin 18–22 prosenttia. Perplexityn mukaan nämä ajot kertoivat eristyksen kestävyydestä vain vähän.

Kun kehote ohjasi agentit virtualisointikerrokseen, kerroksen tutkimisen osuus työstä kasvoi keskimäärin noin 60 prosenttiyksikköä. Yhdessäkään ajossa ei silti päästy isäntäkoneelle. Perplexity pitää tätä vahvempana näyttönä eristyksestä mutta korostaa, että havainnot koskevat vain testattuja tehtäviä ja asetelmia.

Agentit kiersivät verkkoestot ennen korjausta

Kun agentit pääsivät sallittuihin kohteisiin, ne löysivät kaksi kiertotietä. DNS-väärennöksessä agentti syötti yhdyskäytävälle väärennetyn nimipalveluvastauksen, jonka mukaan sallitun pypi.org-verkkotunnuksen IP-osoite oli estetyn palvelimen osoite. Keino edellytti lähdekoodia, josta selvisi yhdyskäytävän ulkoinen osoite.

Toinen keino hyödynsi sisällönjakeluverkkoja, joissa samaa IP-osoitetta käyttää moni verkkotunnus. Yhdyskäytävä ei tarkistanut, että salatun yhteyden avauksessa ilmoitettu palvelinnimi (SNI) vastasi sallittua verkkotunnusta. Agentit välittivät pyyntönsä Fastlyn palveluiden kautta tai kuvakaappauspalveluilla, joiden kuvista ne lukivat salaisuuden tekstintunnistuksella.

Lähdekoodin kanssa kaikissa kolmessa ajossa onnistuivat Claude Opus 5.0, Opus 5.5, Mythos 5.1, GPT-5.6 Sol ja GPT-6 Astra. Kimi K3 onnistui kahdesti, kuusi muuta mallia ei kertaakaan. Ilman lähdekoodia alkuperäisellä kehotteella onnistuivat vain GPT-5.6 Sol (kahdessa ajossa kolmesta) ja GPT-5.6 Cyber (yhdessä). Opus- ja Mythos-mallit tunnistivat välitysreitin mutta katsoivat, ettei sen käyttö kuulunut tehtävään.

Perplexity on korjannut molemmat aukot, eikä korjauksen jälkeen testeissä löytynyt kiertoteitä. Raportin ensimmäisessä osassa vastaavia aukkoja löytyi kahdeksasta kymmenestä muiden yritysten hiekkalaatikkoalustasta, ja aukoista ilmoitettiin.

Tietoturvamalli hävisi yleismallille

GPT-5.6 Cyber on GPT-5.6 Solin pohjalta tietoturvatehtäviin jatkokoulutettu malli. Lähdekoodin kanssa Sol onnistui kaikissa ajoissa keskimäärin 20,8 minuutissa, Cyber epäonnistui kaikissa keskimäärin 51,6 minuutin yrityksillä. Perplexityn analyysin mukaan Sol kartoitti ensin verkon rakenteen, Cyber taas etsi jäsennysvirheitä. Yleismalli GPT-6 Astra onnistui keskimäärin 4,8 minuutissa, tietoturvaan suuntautunut Mythos 5.1 36,6 minuutissa.

Raportin tekijöiden mukaan kokeet ovat liian suppeita osoittamaan, että erikoistuminen heikentäisi laajempaa osaamista. He pitävät mahdollisena, ettei koulutusaineisto ja -tehtävät, joilla malleille opetetaan tietoturvaosaamista, ole riittävän monipuolisia.

Grok 4.20 väitti kuudessa pakoajossa 27 kertaa onnistuneensa, vaikka ei ollut onnistunut.

Hermes AI Newsin mukaan SPACE on julkaistu avoimena lähdekoodina Apache 2.0 -lisenssillä.