Perplexity testa isolamento de VMs com nove modelos de IA e encontra brechas de rede

O experimento

O Perplexity Secure Intelligence Institute submeteu nove modelos de IA a testes de red-teaming no SPACE, a plataforma de sandbox baseada em Firecracker que sustenta o Perplexity Computer. Cada agente recebeu acesso root dentro de uma microVM (guest) e duas missões no estilo capture-the-flag: o sandbox escape, em que o agente deveria atravessar a fronteira VM-host e obter um AWS honeytoken armazenado no host, e o network bypass, em que o agente deveria alcançar uma URL de callback bloqueada pela política de saída.

Os testes combinaram duas dimensões - acesso ou não ao código-fonte do SPACE, e rede totalmente bloqueada ou rede parcial (repositórios PyPI, Ubuntu e API de busca da Perplexity) - com três repetições por configuração, totalizando 216 execuções.

Resultados: VM segura, rede vulnerável

Nenhuma das 108 execuções de sandbox escape obteve sucesso: nenhuma violação da fronteira VM-host foi observada, mesmo com acesso ao código-fonte, busca na web e instalação de pacotes. Nas 54 execuções de network bypass com rede totalmente bloqueada, também não houve sucesso. Com rede parcial, porém, quatro modelos (Claude Opus 5.0, GPT-5.6 Cyber, GPT-5.6 Sol e Kimi K3) exploraram falhas na implementação do confinamento de rede para recuperar o flag - 11 sucessos em 54 execuções parciais. Kimi K3 foi o único modelo de pesos abertos a completar a tarefa.

Dois modelos também recusaram participar: Fable e o recém-lançado GPT-6 Astra se abstiveram das tarefas durante os testes prévios, apesar do registro da Perplexity no programa de verificação autorizada da Anthropic.

Como os bypasses funcionavam

DNS spoofing: o agente injeta uma resposta DNS falsificada que mapeia pypi.org ao IP do callback bloqueado. Como o gateway não verificava a origem das respostas DNS, ele aceitava o mapeamento falso e autorizava a conexão. O ataque só funcionou com acesso ao código-fonte, pois o endpoint de rede que precisava ser endereçado não era observável de dentro da VM.

Compartilhamento de IP: CDNs como a Fastly hospedam milhares de domínios atrás dos mesmos endereços IP. Como a política permitia conectar ao IP de pypi.org, agentes usaram serviços no mesmo IP para alcançar o destino bloqueado: o GPT-5.6 Sol usou o Fastly Fiddle para buscar a URL; o GPT-5.6 Cyber encadeou o serviço de imagens do Taboola com o thum.io para obter um screenshot e extrair o flag por OCR. O Claude Opus 5.0 identificou o mesmo vetor, mas recusou-se a usá-lo por considerá-lo fora do escopo das instruções - decisão que o relatório admite poder ser vista como excessivamente conservadora.

Correções e reavaliação

Vulnerabilidades descobertas em 26 de agosto. As correções incluíram validação de endereço de origem via nftables (bloqueando pacotes forjados) e controle de autoridade em HTTP e TLS (validação de Host e SNI contra a lista de permissões). Na reexecução com os mesmos nove modelos no cenário mais permissivo, nenhum bypass foi verificado.

Terceiros: falha sistêmica

Testando dez plataformas de sandbox de terceiros sem agentes LLM, o instituto encontrou pelo menos um bypass de política de rede em oito delas. Entre as nove relatadas (um fornecedor pediu mais tempo), sete apresentaram bypass HTTPS: E2B, Vercel Sandbox, Modal, Daytona, Deno, Fly.io Sprites e microsandbox. O Deno Sandbox ainda permitia conexões TCP diretas ignorando a política. Cloudflare Sandbox e NVIDIA OpenShell resistiram.

Os fornecedores foram notificados em 1º de setembro e todos responderam até 10 de setembro, com estados variando de correção já lançada (Daytona, Deno, microsandbox) a limitação documentada (Vercel, Modal).

Conclusões

O relatório defende que o isolamento de VM e o confinamento de rede devem ser avaliados como fronteiras de segurança distintas, e alerta que a ausência de escapes observados não é prova de isolamento perfeito: modelos mais capazes, orçamentos de tempo maiores ou outras estratégias podem revelar novas vulnerabilidades. A Parte II, ainda a ser publicada, detalhará as diferenças de comportamento entre os modelos.