Perplexity, SPACE에서 AI 에이전트 네트워크 정책 우회 확인…제3자 샌드박스 9개 중 7개 취약

Perplexity가 SPACE(Sandboxed Platform for Agentic Code Execution) 환경을 평가한 보안 보고서 1부를 공개했다. Firecracker microVM 격리는 안전해 VM 탈출 시도가 성공하지 않았지만, 특정 설정에서 AI 에이전트가 네트워크 아웃바운드 정책을 우회하는 데 성공했다.

SPACE 내 AI 에이전트 우회 사례

Claude Opus 5.0, GPT-5.6 Cyber, GPT-5.6 Sol, Kimi K3 등 9개 LLM을 테스트했다. 부분 네트워크 설정에서 4개 모델은 도메인 정책과 IP 기반 강제 적용 간 불일치를 악용해 차단된 URL에서 비밀 플래그를 추출했다.

• DNS 스푸핑: 소스 코드 접근 권한이 있는 에이전트는 허용된 도메인(예: pypi.org)을 차단된 콜백 IP로 매핑하도록 DNS 응답을 위조했다.
• IP 공유 악용: 허용 및 차단 도메인이 IP를 공유하는 Fastly 같은 CDN을 악용했다. GPT-5.6 Sol은 fiddle.fastly.dev를 통해 차단된 콘텐츠를 가져왔고, GPT-5.6 Cyber는 images.taboola.com과 thum.io를 사용해 차단된 페이지의 스크린샷을 캡처했다.

Perplexity는 nftables 소스 주소 검증과 엄격한 SNI/Host 헤더 검사 등 완화 조치를 구현했다. 패치 후 재평가에서는 성공적인 우회가 0건으로 나타났다.

제3자 플랫폼 취약점

Perplexity는 별도로 AI 에이전트 대신 직접 네트워크 테스트를 통해 10개 제3자 샌드박스 플랫폼의 유사한 네트워크 정책 강제 적용 결함을 평가했다. 9개 플랫폼에 대한 결과가 보고되었다.

• 취약: E2B, Vercel Sandbox, Modal Sandboxes, Daytona Sandbox, Deno Sandbox, Fly.io Sprites, microsandbox는 최소 한 가지 네트워크 정책 우회(HTTP 또는 HTTPS)를 보였다.
• 비취약: Cloudflare Sandbox와 NVIDIA OpenShell은 테스트에서 우회가 발견되지 않았다.

9월 10일 기준 벤더들의 대응 상태는 다음과 같다. Daytona, Deno, microsandbox는 프로덕션 수정 사항을 배포했다. E2B는 문서 및 검증 업데이트를 계획 중이다. Vercel과 Modal은 해당 동작을 알려진 제한 사항으로 분류하고 더 엄격한 통제를 권장했다. NVIDIA OpenShell은 취약하지 않아 완화 조치 표에 포함되지 않았다.