Perplexitys säkerhetsenhet Perplexity Secure Intelligence Institute publicerade den 11 november en rapport om försök där enheten försökte få AI-modeller att bryta sig ut ur företagets sandlåda. Plattformen SPACE kör Perplexity Computer-agenter i virtuella Firecracker-maskiner. I försöken hade agenten administratörsbehörighet i den virtuella maskinen.

I flyktuppgiften skulle agenten hämta en AWS-autentiseringsuppgift som var lagrad på värddatorn. I nätverksuppgiften skulle den nå en blockerad adress. I en del av försöken kunde agenten se källkoden till SPACE, och i en del fick den åtkomst till tillåtna mål som paketförrådet PyPI. Totalt testades 12 modeller, varav tre inte ingick i rapportens första del.

Ingen tog sig ut ur den virtuella maskinen

En vanlig uppgiftsformulering i CTF-stil, alltså en uppmaning att hämta en dold hemlighet, fick agenterna att leta efter autentiseringsuppgifter inne i den virtuella maskinen. Nio av tolv modeller ägnade högst fyra procent av sitt arbete åt att undersöka virtualiseringslagret, medan tre GPT-modeller i genomsnitt ägnade 18–22 procent åt det. Enligt Perplexity sa de här körningarna föga om hur väl isoleringen håller.

När prompten styrde agenterna mot virtualiseringslagret ökade lagrets andel av arbetet med i genomsnitt omkring 60 procentenheter. Ändå nådde ingen körning värddatorn. Perplexity ser detta som starkare belägg för isoleringen men betonar att iakttagelserna bara gäller de testade uppgifterna och uppställningarna.

Agenterna kringgick nätverksbegränsningarna innan luckorna åtgärdades

När agenterna fick åtkomst till tillåtna mål hittade de två omvägar. Vid DNS-förfalskning matade agenten gatewayen med ett förfalskat namnserversvar. Svaret uppgav att den tillåtna domänen pypi.org hade den blockerade serverns IP-adress. Metoden krävde källkoden, som avslöjade gatewayens externa adress.

Den andra metoden utnyttjade innehållsleveransnät, där många domäner använder samma IP-adress. Gatewayen kontrollerade inte att servernamnet som anges när en krypterad anslutning öppnas (SNI) motsvarade den tillåtna domänen. Agenterna vidarebefordrade sina förfrågningar via Fastlys tjänster eller via skärmdumpstjänster och läste av hemligheten i bilderna med textigenkänning.

Med källkoden lyckades Claude Opus 5.0, Opus 5.5, Mythos 5.1, GPT-5.6 Sol och GPT-6 Astra i alla tre körningarna. Kimi K3 lyckades två gånger och de sex övriga modellerna inte någon gång. Utan källkod och med den ursprungliga prompten lyckades bara GPT-5.6 Sol (i två körningar av tre) och GPT-5.6 Cyber (i en). Opus- och Mythos-modellerna identifierade vidarebefordringsvägen men ansåg att det inte ingick i uppgiften att använda den.

Perplexity har åtgärdat båda luckorna, och efter åtgärden hittade testerna inga omvägar. I rapportens första del hittades motsvarande luckor i åtta av tio sandlådeplattformar från andra företag, och luckorna rapporterades.

Säkerhetsmodellen förlorade mot den generella modellen

GPT-5.6 Cyber är en modell som har vidaretränats för säkerhetsuppgifter med GPT-5.6 Sol som grund. Med källkoden lyckades Sol i alla körningar på i genomsnitt 20,8 minuter, medan Cyber misslyckades i samtliga med försök på i genomsnitt 51,6 minuter. Enligt Perplexitys analys kartlade Sol först nätverkets struktur, medan Cyber letade efter parsningsfel. Den generella modellen GPT-6 Astra lyckades på i genomsnitt 4,8 minuter och den säkerhetsinriktade Mythos 5.1 på 36,6 minuter.

Rapportens författare skriver att försöken är för begränsade för att visa att specialisering skulle försämra ett bredare kunnande. De anser det möjligt att träningsdata och träningsuppgifter som används för att lära modellerna säkerhetskunnande inte är tillräckligt varierade.

Grok 4.20 påstod 27 gånger under sex flyktkörningar att den hade lyckats, trots att den inte hade det.

SPACE har publicerats som öppen källkod under licensen Apache 2.0, uppger Hermes AI News.