Како SPACE усмјерава захтјеве ка правом извршавању sandbox окружења

Када неко затражи од AI агента да анализира табелу или тестира софтвер, вјерује му да ће безбједно радити са његовим датотекама и подацима. Агентима су потребна изолована окружења у којима могу обављати тај посао без излагања података других корисника или ометања њихових радних оптерећења.

Како агенти преузимају сложеније задатке уз већу аутономију, ова окружења помажу да се ограниче грешке и штета коју небезбједан или злонамјеран код може да изазове. Sandbox окружења обезбјеђују ту изолацију иако дијеле сервисе контролне равни, радне чворове и инфраструктуру за рутирање.

Та дијељена инфраструктура мора сваку операцију испоручити извршавању које је овлашћено да је обради. Застарјела рута може послати валидан захтјев другом sandbox окружењу или старијем извршавању правог sandbox окружења. SPACE, безбједна sandbox платформа компаније Perplexity, везује сваку операцију за изабрано извршавање и провјерава одредиште прије прослеђивања.

SPACE већ мјесецима обрађује милионе извршавања дневно, од којих је свако заштићено јединственим криптографским идентитетом, уз стопу грешака испод 0,0002% и без иједне прекинуте везе.

Проблем рутирања

Безбједност sandbox окружења зависи и од тога да сваки захтјев стигне на право одредиште. Чак и једноставно читање датотеке пролази кроз дијељену инфраструктуру која мора пратити гдје се sandbox окружење извршава док се паузира, наставља рад или премјешта између машина.

Читање датотеке пролази кроз неколико компоненти. Контролна раван SPACE-а повезује sandbox окружење са извршавањем и радним чвором. Захтјев улази преко node-api, прелази до менаџера sandbox окружења, sbx-manager, и кроз Unix сокет стиже до моста на хосту, spaced-host. Мост га прослеђује преко VSOCK-а, транспорта сокета између хоста и гостујућег система, до spaced-guest унутар Firecracker microVM-а.

Свака одлука ослања се на стање које може каснити за промјенама у инфраструктури. База података може задржати стари распоред, кеширана адреса може упућивати на друго мјесто, а путања сокета може добити другог слушаоца. Успјешна веза и даље може стићи на погрешно одредиште. Читање би могло открити податке другог корисника; уписивање би могло измијенити погрешан систем датотека.

Снимци стања доносе још један проблем. Настављање рада sandbox окружења на другом радном чвору задржава његов логички идентитет, али покреће ново извршавање. Закашњели захтјев или веза која је остала активна може стићи до претходног извршавања и вратити старо стање под правим именом sandbox окружења.

Увећај

Идентитет sandbox окружења и идентитет извршавања

SPACE одваја корисниково окружење од извршног окружења које га опслужује:

• Идентитет sandbox окружења: Стабилни ID логичког окружења. Ауторизација позиваоца утврђује приступ овом sandbox окружењу.
• Идентитет руте/извршавања: Изабрана runtime инкарнација и њен смјештај, укључујући њен worker, подлогу и активацију.

Генерација извршавања разликује инкарнације извршног окружења. На Kubernetes-у рута укључује и UID pod-а. Адресе лоцирају крајње тачке; идентитет извршавања одређује да ли те крајње тачке смију да опслуже операцију.

Претпоставимо да се sandbox окружење S извршава као извршавање 7 на радном чвору A, а затим наставља рад као извршавање 8 на радном чвору B. Захтјев изабран за извршавање 8 мора бити одбијен ако стигне до извршавања 7. Провјера само ID-ја sandbox окружења не би открила ово неслагање.

Увећај

Потписани избор извршавања

Сваки захтјев носи потписани доказ о томе које извршавање sandbox окружења смије да га обради и какав приступ је дозвољен. Компонента која прима захтјев упоређује тај доказ са сопственим идентитетом извршног окружења прије него што дозволи да се захтјев настави.

Након ауторизације позиваоца, SPACE издаје краткотрајно потписано овлашћење које идентификује sandbox окружење, извршавање, распоред и дозвољени приступ. Овлашћења за јавне сервисне портове додатно наводе дозвољени порт и протокол.

Менаџер sandbox окружења који прима захтјев провјерава потпис и упоређује комплетан идентитет са својим локално сачуваним записом о извршном окружењу. Потпис утврђује ко је одобрио избор. Поређење утврђује да ли тај избор одговара примаоцу.

ServicePort саобраћај пролази другу провјеру на мрежном пролазу појединачног sandbox окружења, netgtw, прије отварања везе ка гостујућем систему. Мрежни пролаз упоређује идентитет са поузданим стањем активације и провјерава порт и протокол. Контролне операције настављају ка провјери крајњих тачака моста.

SPACE користи Ed25519 потписе. Кључеви за потписивање у контролној равни издају овлашћења; јавни кључеви за верификацију на радним чворовима и мрежним пролазима не могу их издавати.

Овлашћења трају 120 секунди, уз дозвољено одступање сата при истеку од највише 15 секунди. Валидан потпис и неистекли токен и даље нису довољни када се изабрани и инсталирани идентитет не поклапају.

Увећај

Одбијање на погрешном одредишту

Радни чвор који прима захтјев може открити грешку у рутирању чак и када је сам захтјев овлашћен. Он провјерава да ли покреће управо оно извршавање које је изабрано за тај захтјев и одбија захтјев ако се она разликују.

Ако захтјев изабран за извршавање 8 стигне до worker-а A, који још опслужује извршавање 7, worker A га одбија прије него што га прослиједи даље. Када прималац инсталира идентитет извршавања 8, он одбија и овлашћења (capabilities) за извршавање 7, чак и прије него што истекну.

Ова гаранција има важну границу. Овлашћење за извршавање 7 и даље може одговарати радном чвору који опслужује извршавање 7 све док тај чвор не сазна да је извршавање повучено или док овлашћење не истекне. Локална примјена правила и ограничено трајање овлашћења дјелују заједно док се ажурирања шире.

Увећај

Провјера крајњих тачака моста

Одговарајући запис о извршном окружењу утврђује намјеравано извршавање. Контролни мост такође мора стићи до процеса и транспорта који припадају тој активацији, а не до замјене која је наслиједила исту адресу.

Менаџери sandbox окружења и чворова провјеравају акредитиве друге стране моста на хосту и идентитете процеса моста и Firecracker-а, укључујући вријеме покретања, чиме откривају поново искоришћене ID-јеве или измијењене извршне датотеке

Провјере транспорта везују VSOCK слушаоца за очекивани Firecracker процес помоћу власништва над сокетом, идентитета гостујућег система и података о сокетима из кернела. Мост прослеђује операције тек након провјере и одбија транспарентна поновна повезивања. Свака нова веза мора поново проћи провјере.

Ова провјера обухвата Firecracker контролни мост на Kubernetes-у и на хостовима којима се директно управља. ServicePort саобраћај користи провјере извршавања и порта на свом мрежном пролазу; он не потврђује идентитет произвољне апликације унутар гостујућег система.

Увећај

Трајање токова и опоравак рута

Неке везе остају отворене док се извршавање sandbox окружења мијења, па провјере идентитета морају ићи даље од почетног захтјева. SPACE повлачи везе које припадају старом извршавању и омогућава операцијама које испуњавају услове да се поново повежу са тренутним извршавањем уз исте безбједносне провјере.

Терминали и праћења датотека могу трајати дуже од захтјева који су их отворили. SPACE везује позадинске токове за епоху идентитета, тако да ток не може остати повезан са претходним извршавањем након што прималац инсталира замјенско извршавање.

SPACE поново провјерава трајни идентитет прије отварања тока. Замјена његове руте или извршавања поништава закуп тока, чиме се заустављају улаз и излаз.

Промјене власништва разликују се од замјене извршавања. Примопредаја операција животног циклуса на непромијењеном Kubernetes резиденту задржава његов идентитет руте, неистекла овлашћења и токове. Мрежни пролаз такође задржава успостављене токове при промјенама које се односе само на покушај активације унутар исте руте и генерације извршавања. Нова отварања захтијевају ажурирани идентитет.

Опоравак не нарушава ове провјере. Компаратор идентитета може да врати RefreshRoute при неподударању инкарнације унутар истог sandbox окружења или Deny за друго sandbox окружење. Само препознати сигнал за освјежавање покреће поправку руте након одбијања идентитета. Грешке у транспорту подлијежу посебним правилима опоравка специфичним за сваку операцију. Неважећи потписи, намјене или профили портова и даље се одбијају.

Операција која испуњава услове може утврдити тренутно извршавање и једном поново покушати са обновљеним захтјевом. Замјена у кешу условљена је одбијеном рутом, чиме се спрјечава да закашњело одбијање избаци новији унос. Освјежавање нативне сесије задржава првобитни рок важења у кешу, одвајајући поправку руте од обнављања ауторизације позиваоца.

Правила за поновно слање захтјева остају специфична за сваку операцију. Замјенски позадински систем мора поново проћи пријем, чак и када WebSocket веза према клијенту остане отворена.

Увећај

Компромиси и границе повјерења

Идентитет извршавања постаје безбједносно критично стање. Ажурирања контролне равни и пакети кључева за верификацију морају стићи до компоненти које опслужују захтјеве, а повлачење ступа на снагу када сваки прималац инсталира ажурирање. Кратко трајање овлашћења ограничава поновну употребу док се ажурирања шире.

Дизајн претпоставља да је примјена идентитета укључена и вјерује потписнику контролне равни, кернелу радног чвора и локалним сервисима за управљање на чвору. Компромитовање root приступа на радном чвору или привилегованог администратора кластера излази из оквира модела пријетњи. Провјера моста је локална провјера процеса и транспорта, а не хардверски подржана удаљена атестација.

Верификација потписа, поређења извршног окружења и валидација моста додају посао на путањи захтјева. Оне користе локално стање умјесто удаљене провјере ауторизације на сваком приватном кораку.

Поређење са индустријом

Релевантно поређење односи се на то како платформе поступају када овлашћени захтјев стигне до погрешног извршавања правог sandbox окружења. Ови налази односе се на прегледане имплементације, а не на укупну безбједност платформи. SPACE, OpenShell и E2B провјерени су 8. октобра 2026:

• OpenShell: Пружа упоредив избор извршавања за нове позиве и везивање супервизора за извршно окружење путем провјера генерације и ауторизације на мрежном пролазу, валидације идентитета позадинског система и потврђених активних веза супервизора (пријем на мрежном пролазу, аутентификација и везивање извршног окружења). SPACE преноси потписани избор кроз цијелу путању опслуживања и додаје локалну провјеру процеса и транспорта на радном чвору; OpenShell распоређује одговарајуће провјере на свој мрежни пролаз, идентитет при покретању и аутентификовани протокол извршног окружења (дизајн извршног окружења).
• E2B: Прати ID-јеве извршавања и изолује групе проксија према животном циклусу Firecracker-а, али његов улазни прокси бира логичко sandbox окружење и порт без очекиваног идентитета извршавања са којим би прималац могао да упореди захтјев (објављивање рута, пријем у проксију). Те провјере не могу разликовати старије извршавање које је и даље регистровано као активно на застарјелом примаоцу са одговарајућим акредитивима од изабраног новијег извршавања, иако уобичајено гашење уклања руте и затвара везе везане за животни циклус (акредитиви, гашење).
• CubeSandbox: Поправља рутирање при наставку рада и поништава кеш, али приватни ingress користи акредитиве ограничене на sandbox окружење и прослеђује саобраћај без очекиване инкарнације извршног окружења (рутирање при наставку рада, ingress рутирање). Поправка рута скраћује периоде у којима важе застарјеле руте; овлашћење у SPACE-у везано за извршавање додатно даје примаоцу независан основ да одбије погрешну инкарнацију.

Идентитет као граница изолације

Безбједно делегирање зависи од тога да рад сваког агента остане унутар граница које су му намијењене. MicroVM обезбјеђује изолацију, док окружујућа платформа мора осигурати да сваки захтјев и свака активна веза стигну до извршавања које је овлашћено да их обради.

SPACE идентитет извршавања чини дијелом те заштите. Провјером одредишта, верификацијом крајњих тачака моста и везивањем веза за извршавање које их је овластило, SPACE чува те границе док се sandbox окружења паузирају, настављају рад и премјештају.

Настављамо рад како се инфраструктура развија. За SPACE и друге sandbox платформе, безбједност захтијева тестирање ових путања и на уобичајене грешке у рутирању и на злонамјерна радна оптерећења, а затим јачање граница гдје год ти тестови открију недостатке.