퍼플렉시티 SPACE 공개, AI 에이전트 격리의 역할과 한계

퍼플렉시티 SPACE는 AI 에이전트가 실행하는 코드를 독립된 마이크로 가상머신에 가둬 호스트와 다른 작업환경으로 피해가 번지는 범위를 줄이는 플랫폼입니다. 다만 샌드박스를 도입했다고 해서 관리 API, 호스트 서비스, 네트워크, 자격증명까지 자동으로 안전해지는 것은 아닙니다.

Perplexity는 2026년 10월 15일 SPACE를 공개 저장소로 전환했습니다. 저장소에는 Apache License 2.0이 표시돼 있어 외부 개발자와 기업이 코드를 검토하고 자체 환경에 적용할 수 있는 길도 열렸습니다.

퍼플렉시티 SPACE는 무엇을 격리하나

SPACE는 AI 에이전트가 파일을 만들고 프로그램을 실행하는 작업공간을 제공하는 샌드박스 플랫폼입니다. 여기서 샌드박스란 실행 대상을 다른 시스템 영역과 분리해, 문제가 발생했을 때 영향을 받을 범위를 제한하는 환경을 뜻합니다.

각 SPACE 샌드박스는 자체 쓰기 가능 파일시스템을 가진 독립적인 Firecracker 마이크로 가상머신입니다. Firecracker는 비교적 가볍게 구동할 수 있도록 설계된 가상머신 기술입니다. 하나의 샌드박스에서는 여러 명령을 이어서 실행할 수 있으므로, 명령마다 완전히 새로운 작업환경을 만드는 방식과는 다릅니다.

핵심 역할은 신뢰하기 어려운 에이전트 실행 코드를 호스트에서 직접 돌리지 않는 데 있습니다. 코드가 예상과 다른 파일을 수정하거나 비정상적인 프로세스를 실행하더라도, 우선 가상머신이라는 경계 안에 머물도록 설계한 것입니다.

제어 경로와 명령 연결을 왜 나눴나

SPACE 아키텍처는 샌드박스를 만들고 없애는 관리 경로와, 실제 명령을 주고받는 스트림 경로를 분리합니다. API와 제어 구성요소는 샌드박스의 생성, 실행, 종료 같은 생명주기를 조정합니다. 별도의 데이터 플레인은 범위가 제한된 토큰을 사용해 게스트 프로세스와의 연결을 전달합니다.

토큰도 용도에 따라 구분됩니다. 관리 요청용 토큰과 명령 연결용 세션 토큰은 서로 대신 사용할 수 없습니다. 한 종류의 토큰이 노출됐을 때 곧바로 모든 기능에 접근하지 못하도록 권한 범위를 나눈 구조입니다.

이 분리는 중요한 방어선이지만 완전한 독립을 뜻하지는 않습니다. 호스트 측 서비스에는 가상머신, 저장장치, 네트워크를 관리할 권한이 필요합니다. 따라서 게스트 실행 격리와 호스트의 관리 권한은 서로 다른 보안 경계로 평가해야 합니다.

SPACE가 줄이는 위험과 막지 못하는 위험

SPACE가 주로 줄이는 위험은 에이전트가 실행한 코드가 호스트나 다른 작업환경에 직접 영향을 미치는 범위입니다. 예를 들어 예기치 않은 명령이 실행되거나 작업 파일이 손상되는 상황에서, 개별 마이크로 가상머신이 피해 범위를 제한하는 역할을 할 수 있습니다.

반면 다음 영역은 샌드박스 자체만으로 해결되지 않습니다.

• 관리 API 권한: 샌드박스를 생성하거나 제어하는 계정에 지나치게 넓은 권한이 부여되면 별도 위험이 생깁니다.
• 호스트 서비스 권한: 가상머신과 저장장치, 네트워크를 관리하는 서비스가 침해되면 게스트 격리만으로 대응하기 어렵습니다.
• 네트워크 정책: 외부 통신 허용 범위와 이름 해석, 목적지 검증이 느슨하면 격리된 코드도 허용되지 않은 통신을 시도할 수 있습니다.
• 자격증명 설계: 에이전트에 전달하는 키와 토큰의 권한, 유효기간, 보관 방식은 별도로 통제해야 합니다.

SPACE는 보안 체계 전체가 아니라 코드 실행 계층의 격리 수단으로 보는 것이 정확합니다. 도입 여부를 판단할 때도 가상머신 사용 여부만 확인하지 말고 관리 서비스와 네트워크에 남는 권한을 함께 살펴봐야 합니다.

공개 보안시험에서 드러난 경계

Perplexity는 공식 시험에서 가상머신에서 호스트로 빠져나오는 탈출 공격과 네트워크 제한을 우회하는 공격을 별도의 보안 경계로 평가했다고 설명했습니다.

회사 설명에 따르면 9개 모델을 대상으로 수행한 가상머신 탈출 시험 108회에서는 성공 사례가 관찰되지 않았습니다. 이 숫자는 시험 조건에서 Firecracker 기반 경계를 넘은 사례가 없었다는 의미입니다. 그러나 108회라는 결과만으로 알려지지 않은 취약점이나 다른 구성에서의 탈출 가능성까지 부정할 수는 없습니다.

제한적인 네트워크 조건에서는 다른 결과가 나왔습니다. DNS 스푸핑이나 공유 IP 라우팅을 이용한 우회가 발생했고, 회사는 대응책을 적용한 뒤 다시 시험했다고 밝혔습니다. 이는 가상머신 탈출을 막는 것과 허용된 네트워크 경로를 악용하지 못하게 하는 것이 서로 다른 문제임을 보여줍니다.

이 결과는 Perplexity가 특정 환경에서 수행한 자체 평가입니다. 모든 공격을 차단한다는 보증이나 독립적인 보안 인증으로 확대해 해석해서는 안 됩니다.

공개 소스 전환의 사업적 의미

Perplexity는 SPACE가 2026년 7월부터 자사 Computer 세션에 사용됐으며, 하루 수백만 건의 샌드박스 생성을 처리했다고 주장합니다. 동일한 운영 트래픽을 비교했을 때 기존 공급자보다 생성 속도가 3배에서 5배 빨랐다는 설명도 내놨습니다.

이 수치는 대규모 운영 경험과 빠른 작업환경 생성 능력을 강조합니다. 다만 비교 대상의 구성과 비용, 자원 조건이 동일했는지는 별도로 살펴봐야 하므로 일반적인 성능 우위로 단정하기는 어렵습니다.

Semafor 보도에 따르면 Perplexity는 CoreWeave와 Akamai를 고객에게 SPACE를 제공하기로 합의한 파트너로 제시했습니다. Crusoe도 관리형 AI 서비스 포트폴리오 도입을 위해 협력한다고 밝혔습니다. 공개 소스 전환은 SPACE를 자사 서비스의 내부 기술에 머물게 하지 않고 다른 클라우드 환경으로 확장하려는 움직임으로 읽을 수 있습니다.

투자 관점에서는 기술 공개 자체보다 실제 고객 제공 방식, 유료 관리 서비스의 등장 여부, 클라우드 사업자와의 수익 배분 구조가 더 중요한 판단 지표입니다. 현재 확인된 협력 사실만으로 Perplexity의 매출 기여 규모를 계산할 수는 없습니다.

도입 전에 확인할 실무 조건

기업이 SPACE 같은 실행 격리 플랫폼을 검토한다면 다음 조건을 함께 점검해야 합니다.

1. 관리 API를 호출할 수 있는 계정과 서비스가 최소 권한으로 제한돼 있는지 확인합니다.
2. 샌드박스에 전달되는 자격증명의 범위와 유효기간을 작업 단위로 줄였는지 살펴봅니다.
3. 외부 통신을 단순 허용 목록에만 의존하지 않고 DNS와 공유 IP 경로까지 통제하는지 점검합니다.
4. 샌드박스 생성, 명령 연결, 네트워크 요청 기록을 서로 연결해 추적할 수 있는지 확인합니다.
5. 가상머신 탈출뿐 아니라 관리 서비스 침해와 네트워크 우회를 별도로 시험하는지 살펴봅니다.

특히 에이전트가 민감한 데이터나 운영 시스템에 접근한다면 격리 환경의 존재보다 그 안에 어떤 권한을 넣어주는지가 더 중요할 수 있습니다.

윗글들을 정리해보면

퍼플렉시티 SPACE는 AI 에이전트의 코드 실행을 독립된 Firecracker 마이크로 가상머신으로 분리해 사고의 확산 범위를 줄이는 기술입니다. 관리 경로와 명령 스트림을 나누고 용도별 토큰을 구분한 점도 권한 노출 범위를 제한하는 데 의미가 있습니다.

하지만 가상머신 격리는 관리 API, 호스트 서비스, 네트워크 정책, 자격증명 설계를 대신하지 않습니다. 회사 자체 시험에서도 가상머신 탈출과 네트워크 우회는 서로 다른 문제로 나타났습니다.

따라서 SPACE를 평가할 때는 공개 소스라는 사실이나 108회의 탈출 시험 결과만 볼 것이 아니라, 실제 배포 환경의 관리 권한과 네트워크 통제, 독립적인 보안 검증, 향후 유료 서비스 구조를 함께 확인해야 합니다.