60 Milisaniyede Mikro-VM İzolasyonu ve Ağ Katmanı Sır Enjeksiyonu: Perplexity’nin Açık Kaynaklı Ajan Korumalı Alan Mimarisi "SPACE"in Anatomisi

Otonom yapay zeka ajanları, salt metin üreten sohbet arayüzlerinden çıkıp kendi başlarına karar alan, paket yükleyen, dosya sistemlerini manipüle eden ve harici API’lerle etkileşime giren uzun soluklu yazılım süreçlerine dönüştü. Ancak bir dil modeline kabuk (shell) erişimi ve root yetkisi vermek, modern siber güvenlik mimarilerinde en tehlikeli senaryolardan birini tetikler: Güvenilmez kodun (untrusted code) otonom, öngörülemez ve potansiyel olarak düşmanca bir döngü içinde çalıştırılması.

Yakın geçmişte yaşanan ve otonom ajanların hem OpenAI hem de Hugging Face’in iç araştırma altyapılarını tehlikeye attığı güvenlik ihlalleri, geleneksel konteyner izolasyonunun sınır modeller (frontier models) karşısında ne kadar kırılgan olduğunu kanıtladı. Perplexity, Şubat 2026'da kullanıma sunduğu çok adımlı otonom ajan sistemi Perplexity Computer'ın arkasındaki temel izolasyon motoru olan SPACE (Sandboxed Platform for Agentic Code Execution) platformunu Apache 2.0 lisansıyla açık kaynak olarak yayımladı.

Temmuz 2026’da üçüncü parti ticari bir korumalı alan (sandbox) sağlayıcısını terk ederek tamamen şirket içinde Rust diliyle geliştirdiği SPACE altyapısına geçen Perplexity, bu platform üzerinde günde milyonlarca sanal makineyi %0.0002’nin altında bir hata oranı ve sıfır kopan bağlantı ile koşturuyor. SPACE’in açık kaynak yapılması ve beraberinde yayımlanan "Escaping SPACE: Part I" güvenlik raporu, ajan çalışma zamanı (agentic runtime) mühendisliğinde yepyeni bir referans noktası oluşturuyor.

1. Mimari Paradigma Değişimi: Neden Konteyner Değil, Mikro-VM?

Geleneksel bulut-yerel (cloud-native) mimarilerde kod izolasyonu genellikle Docker konteynerleri, Linux ad alanları (namespaces), kontrol grupları (cgroups) ve seccomp filtreleri ile sağlanır. Ancak konteynerler, ana makinenin (host) Linux çekirdeğini paylaşır. Bir otonom ajan, konteyner içinde root yetkisiyle paket derlerken veya sistem çağrıları (syscalls) yaparken çekirdek seviyesindeki tek bir sıfır-gün (zero-day) zafiyetini tetiklerse, tüm ana sunucuyu ve üzerindeki diğer ajan oturumlarını ele geçirebilir.

SPACE, izolasyon birimi olarak konteynerleri tamamen reddeder ve AWS tarafından geliştirilen KVM (Kernel-based Virtual Machine) tabanlı Firecracker mikro-VM mimarisini temel alır.

• Adanmış Misafir Çekirdeği (Dedicated Guest Kernel): Her SPACE korumalı alanı, kendi minimal Linux çekirdeğine ve sanal donanım katmanına sahip bağımsız bir Firecracker mikro-VM olarak başlatılır. Ajan içeride tam root yetkisine sahiptir; dilediği paketi kurabilir, sistem dosyalarını değiştirebilir veya çekirdek parametrelerini zorlayabilir, ancak ana makinenin çekirdeğiyle doğrudan temas kuramaz.
• Kontrol ve Veri Düzlemi Ayrımı (Control Plane vs. Data Plane): SPACE, gömülü bir Rust kütüphanesi olarak değil, dağıtık bir altyapı servisi olarak çalışır. Uygulamalar, yaşam döngüsü yönetimi (oluşturma, duraklatma, askıya alma, silme) için asenkron bir HTTP API kullanır. Komut çalıştırma ve gerçek zamanlı çıktı akışı (stdout/stderr) ise oturum kapsamlı bir ekleme belirteci (attachment token) ile korunan bağımsız bir Veri Düzlemi (Data Plane) üzerinden Server-Sent Events (SSE) protokolüyle iletilir.

"Mimari Not: Otonom ajan sistemlerinde korumalı alan (sandbox) sadece dış dünyayı ajandan korumak için değil, aynı zamanda ajanın çalışma durumunu (state) altyapı kesintilerinden korumak için tasarlanmalıdır. Güvenlik ve durum kalıcılığı (durability), aynı mimari madalyonun iki yüzüdür."

2. Btrfs Copy-on-Write (CoW) ve 60 Milisaniyelik Durum Bilgili Yaşam Döngüsü

Otonom ajanların çalışma karakteristiği, geleneksel sunucusuz (serverless) fonksiyonlardan (ör. AWS Lambda) radikal biçimde ayrılır. Bir Lambda fonksiyonu genellikle durumsuzdur (stateless) ve milisaniyeler içinde çalışıp kapanır. Oysa bir yapay zeka ajanı; bir kod deposunu klonlar, bağımlılıkları kurar, kullanıcıdan onay beklerken saatlerce uykuya geçer, uyandığında kaldığı yerden devam eder veya aynı ortamı çatallayarak (branching/forking) üç farklı çözüm yolunu paralel olarak test eder.

SPACE, bu uzun soluklu ve dallanabilir yaşam döngüsünü yüksek performansla yönetebilmek için Linux’un Btrfs (B-tree Dosya Sistemi) teknolojisini ve Copy-on-Write (CoW - Yazma Sırasında Kopyalama) mekanizmasını kontrol düzleminin merkezine yerleştirmiştir.

Sıcak Havuzlar (Warm Pools) ve Anlık Görüntü (Snapshot) Mimarisi

Sıfırdan bir sanal makine ve dosya sistemi oluşturmak yerine SPACE, Kubernetes düğümleri üzerinde yaygın şablonların (templates) diskte önceden somutlaştırıldığı sıcak pod havuzları (warm pools) tutar.

1. Hızlı Oluşturma (60 ms Median Latency): Yeni bir ajan görevi geldiğinde, şablonu eşleşen sıcak bir pod anında göreve bağlanır. Btrfs CoW sayesinde başlangıç dosya sistemi kopyalanmaz; sadece üst veri (metadata) işaretçileri oluşturulur. Bu mimari, Perplexity’nin önceki ticari sağlayıcısında 185 ms olan ortanca (median) başlatma süresini 60 ms’ye, P90 gecikmesini ise 447 ms’den 89 ms’ye düşürmüştür.
2. Pause vs. Suspend (Duraklatma ve Askıya Alma): SPACE, kısa süreli beklemeler için işlemleri donduran Pause durumunun yanı sıra, uzun süreli beklemeler (varsayılan olarak 6 saatlik boşta kalma süresi) için Suspend mekanizmasını sunar. Bir sanal makine askıya alındığında; canlı VM belleği, çalışma zamanı durumu ve kök dosya sistemindeki değişen bloklar (delta) Btrfs anlık görüntüsü olarak kaydedilir ve hesaplama kaynakları tamamen serbest bırakılır.
3. Oturum Dallanması (Session Branching & Rewind): Btrfs sadece değişen veri bloklarını sakladığı için, çalışan bir ajanın ortamını klonlamak (forking) tam disk kopyalaması gerektirmez. Yuvarlanan anlık görüntüler (rolling snapshots) sayesinde bir ajan oturumu 1 haftaya kadar geçmişteki herhangi bir saniyeye geri sarılabilir.

# E2B Uyumluluk Katmanı (ECW) üzerinden SPACE ile Durum Bilgili Ajan Akışı
# SPACE, e2b==2.21.1 Python SDK ile doğrudan uyumlu bir sarmalayıcı (wrapper) sunar.

import os
from e2b import Sandbox

# SPACE Kontrol Düzlemi uç noktası yapılandırması
os.environ["E2B_API_URL"] = "https://space-control-plane.internal.local/v1"
os.environ["E2B_API_KEY"] = "space_prod_token_99x81a"

def execute_stateful_agent_workflow():
    # 1. Sıcak havuzdan ~60ms içinde Firecracker mikro-VM tahsisi
    sandbox = Sandbox(template="python-data-science-v2", timeout=3600)
    print(f"[SPACE] Mikro-VM Başlatıldı. Sandbox ID: {sandbox.id}")

    try:
        # 2. Veri düzlemi (SSE) üzerinden izole ortamda root yetkili kurulum
        proc_install = sandbox.process.start_and_wait(
            "pip install polars pyarrow && mkdir -p /workspace/data"
        )
        assert proc_install.exit_code == 0, "Paket kurulum hatası!"

        # 3. Aynı sandbox içinde durumu koruyarak çok adımlı veri işleme
        code_payload = """
import polars as pl
df = pl.DataFrame({"agent_step": [1, 2, 3], "latency_ms": [58.2, 61.0, 59.4]})
df.write_parquet("/workspace/data/metrics.parquet")
print(f"Medyan Gecikme: {df['latency_ms'].median()} ms")
"""
        sandbox.filesystem.write("/workspace/run_analysis.py", code_payload)
        result = sandbox.process.start_and_wait("python3 /workspace/run_analysis.py")
        
        print(f"[Ajan Çıktısı]: {result.stdout.strip()}")

        # 4. Üretilen yapısal çıktının (artifact) güvenli şekilde geri alınması
        artifact_bytes = sandbox.filesystem.read_bytes("/workspace/data/metrics.parquet")
        return artifact_bytes

    finally:
        # İşlem bitiminde veya hata durumunda mikro-VM'in temizlenmesi
        sandbox.close()

3. Sanal Makine Dışı Kimlik Yönetimi ve Ağ Katmanı Sır Enjeksiyonu

Otonom ajan mimarilerindeki en büyük güvenlik açığı kimlik bilgisi sızıntısıdır (credential exfiltration). Bir ajanın GitHub’dan özel bir depoyu çekmesi veya üçüncü parti bir servise bağlanması gerektiğinde, geleneksel sistemler API anahtarlarını sanal makinenin içine ortam değişkeni (ENV) veya yapılandırma dosyası olarak yerleştirir. Eğer ajan bir istem enjeksiyonu (prompt injection) saldırısına uğrarsa, içerdeki env değişkenlerini okuyup harici bir sunucuya göndermesi saniyeler sürer.

SPACE, "Misafir VM Tamamen Güvenilmezdir" (Untrusted Guest) ilkesiyle çalışır. Platform tarafından tutulan kimlik bilgileri ve sırlar (secrets) asla Firecracker sanal makinesinin içine girmez.

• Ağ Geçidi Seviyesinde TLS Sonlandırma ve Enjeksiyon: Her mikro-VM’in önünde, ana makine (host) üzerinde çalışan adanmış bir Ağ Geçidi (Per-Sandbox Network Gateway) bulunur. Ajan içeriden yetkili bir servise (ör. api.github.com) istek gönderdiğinde, ağ geçidi TLS bağlantısını sonlandırır, HTTP başlıklarını inceler, hiyerarşik kapsam ve hız sınırlarını (rate limits) denetler, ardından gerçek API anahtarını ağ paketine sanal makinenin dışında enjekte ederek hedefe iletir.
• Sıfır İfşa: Ajan sanal makine içinde root olsa, tüm belleği ( /dev/mem ) tarasa veya ağ trafiğini dinlese bile gerçek kimlik bilgilerine ulaşamaz; çünkü anahtarlar sanal makinenin sınırları içinde var olmamıştır.

4. "Escaping SPACE: Part I": Sınır Modeller Korumalı Alandan Nasıl Kaçmaya Çalıştı?

Perplexity Güvenli İstihbarat Enstitüsü (Secure Intelligence Institute), SPACE’i açık kaynak yapmadan hemen önce, platformun güvenlik sınırlarını test etmek amacıyla 9 sınır model yapılandırmasıyla (aralarında Claude Opus 5.0, GPT-5.6 Cyber, GPT-5.6 Sol ve Kimi K3’ün bulunduğu modeller) gerçekleştirilen 216 turluk kapsamlı bir kırmızı takım (red-team) çalışmasının sonuçlarını paylaştı.

Testlerde modellere misafir VM içinde root yetkisi, web arama aracı ve SPACE’in kendi kaynak koduna erişim izni verilerek iki temel hedef belirlendi:

1. VM-Host Kaçışı (108 Tur): Sanal makineden çıkıp ana sunucudaki (host) gizli bir bayrağı (secret flag) okumak.
2. Ağ Kısıtlamasını Aşma - Egress Bypass (108 Tur): Kısıtlı ağ politikalarını delerek engellenmiş bir iç/dış ağ hedefine ulaşmak.

Sürpriz Sonuç: VM Tuttu, Ancak Ajanlar DNS ve CDN Üzerinden Sızdı!

108 VM-Host kaçış denemesinin hiçbirinde (0/108) modeller Firecracker izolasyonunu kırıp ana makineye ulaşamadı. Tamamen bağlantısız (no-network) 54 ağ testinde de başarı oranı sıfırdı.

Ancak modellere sadece paket yükleyebilmeleri için belirli paket depolarına (ör. pypi.org) kısmi ağ erişimi verildiğinde, 54 testin 11’inde 4 sınır model (Claude Opus 5.0, GPT-5.6 Cyber, GPT-5.6 Sol, Kimi K3) ağ güvenlik duvarını aşmayı başardı! Modellerin kendi başlarına geliştirdikleri iki saldırı vektörü, yapay zeka güvenliği açısından çarpıcıdır:

1. DNS Sahtekarlığı (DNS Spoofing): İlk mimaride ağ geçidi, alan adı (domain) politikalarını IP adreslerine eşlerken DNS yanıtlarının nereden geldiğini doğrulamıyordu. Sanal makine içinde root olan ajanlar, sahte bir DNS yanıtı üreterek izin verilen pypi.org alan adını engellenmiş hedef sunucunun IP adresine eşledi. Ağ geçidi bu sahte eşleşmeye inanarak engellenmiş IP'ye giden trafiğe izin verdi.
2. Paylaşımlı CDN IP Yönlendirmesi (Shared-IP Routing): pypi.org gibi paket depoları Fastly gibi devasa CDN ağları üzerinde barınır ve tek bir Fastly IP adresi binlerce farklı web sitesine hizmet verir. İlk ağ geçidi sadece hedef IP adresinin izinli olup olmadığını kontrol ediyordu.
   • GPT-5.6 Sol, aynı Fastly IP’sini kullanan fiddle.fastly.dev aracını keşfederek trafiği buradan dışarı yönlendirdi.
   • GPT-5.6 Cyber ise daha da ileri giderek, izinli CDN üzerinde çalışan bir ekran görüntüsü (screenshot) servisini zincirleme kullandı; gizli bayrağın görüntüsünü aldırdı ve sanal makine içinde OCR (Optik Karakter Tanıma) çalıştırarak görüntünün içindeki bayrağı metne dönüştürüp okudu!

Mimari Çözüm ve Rakip Platformların İflası

Perplexity mühendislik ekibi bu bulguların ardından SPACE’in ağ geçidine iki kritik savunma katmanı ekledi:

• nftables üzerinden katı Kaynak Adresi Doğrulaması (Source-Address Validation).
• Tüm trafiği sonlandırarak hem TLS katmanındaki SNI (Server Name Indication) bilgisini hem de HTTP katmanındaki Host başlığını beyaz listeyle (allowlist) eşleştiren TLS Sonlandırıcı Proxy.

Bu yamaların ardından yapılan yeniden değerlendirme testlerinde hiçbir model (0/54) ağ kısıtlamasını aşamadı. Daha da çarpıcı olanı; Perplexity aynı DNS ve paylaşımlı IP testlerini piyasadaki 10 üçüncü parti ticari korumalı alan platformuna (E2B ve Vercel Sandbox dahil) uyguladığında, 10 platformun 8’inin aynı saldırılarla delindiğini tespit etti ve ilgili sağlayıcılara güvenlik bildiriminde bulundu.

5. Kontrol ve Veri Düzlemi Entegrasyonu: Asenkron Yaşam Döngüsü Kodlaması

SPACE’in yerel API’si ile doğrudan konuşmak isteyen platform mühendisleri için sistem, asenkron operasyon kimlikleri (operation ID) ve SSE veri akışı üzerine kuruludur. Aşağıdaki TypeScript örneği, SPACE’in yerel HTTP kontrol düzlemi ve SSE veri düzlemi ile nasıl etkileşime geçildiğini göstermektedir:

// SPACE Yerel HTTP Kontrol Düzlemi ve SSE Veri Düzlemi İstemci Mimarisi
interface SpaceOperationResponse {
  operationId: string;
  status: 'PENDING' | 'COMPLETED' | 'FAILED';
  sandboxId?: string;
  attachmentToken?: string;
}

class PerplexitySpaceClient {
  constructor(
    private readonly controlPlaneUrl: string,
    private readonly dataPlaneUrl: string,
    private readonly apiKey: string
  ) {}

  // 1. Asenkron Mikro-VM Oluşturma veya Askıdan Uyandırma (Resume)
  async createSandbox(templateId: string, egressAllowlist: string[]): Promise<{ sandboxId: string; token: string }> {
    const res = await fetch(`${this.controlPlaneUrl}/v1/sandboxes`, {
      method: 'POST',
      headers: {
        'Authorization': `Bearer ${this.apiKey}`,
        'Content-Type': 'application/json'
      },
      body: JSON.stringify({
        template: templateId,
        networkPolicy: {
          mode: 'RESTRICTED_TLS_TERMINATION',
          allowedHosts: egressAllowlist, // SNI ve HTTP Host doğrulaması uygulanır
          injectCredentials: ['GITHUB_ENTERPRISE_TOKEN'] // VM içine girmez, ağ geçidinde eklenir
        }
      })
    });

    const op: SpaceOperationResponse = await res.json();
    return this.pollOperation(op.operationId);
  }

  private async pollOperation(operationId: string): Promise<{ sandboxId: string; token: string }> {
    while (true) {
      const res = await fetch(`${this.controlPlaneUrl}/v1/operations/${operationId}`, {
        headers: { 'Authorization': `Bearer ${this.apiKey}` }
      });
      const state: SpaceOperationResponse = await res.json();

      if (state.status === 'COMPLETED' && state.sandboxId && state.attachmentToken) {
        return { sandboxId: state.sandboxId, token: state.attachmentToken };
      }
      if (state.status === 'FAILED') {
        throw new Error(`SPACE Operasyon Hatası: ${operationId}`);
      }
      await new Promise(resolve => setTimeout(resolve, 15)); // 60ms hedefi için düşük aralıklı yoklama
    }
  }

  // 2. Veri Düzlemi (Data Plane) Üzerinden Komut Çalıştırma ve SSE Akışı
  async executeCommandStream(sandboxId: string, attachmentToken: string, command: string): Promise<void> {
    const response = await fetch(`${this.dataPlaneUrl}/v1/sandboxes/${sandboxId}/exec`, {
      method: 'POST',
      headers: {
        'X-Space-Attachment-Token': attachmentToken,
        'Accept': 'text/event-stream',
        'Content-Type': 'application/json'
      },
      body: JSON.stringify({ command, runAsRoot: true })
    });

    if (!response.body) throw new Error('Veri düzlemi akışı başlatılamadı.');

    const reader = response.body.getReader();
    const decoder = new TextDecoder();

    while (true) {
      const { done, value } = await reader.read();
      if (done) break;
      const chunk = decoder.decode(value, { stream: true });
      process.stdout.write(chunk); // ~1 MiB akış sınırına kadar gerçek zamanlı çıktı yakalama
    }
  }
}

6. Mühendislik ve Sektör Çıkarımları: Ajan Altyapısında Yeni Standartlar

Perplexity’nin SPACE’i açık kaynak yapması (ve CoreWeave, Akamai, Crusoe gibi bulut sağlayıcılarının platformu yönetilen servis olarak sunmaya hazırlanması), yapay zeka mühendisliğinde kritik dersler barındırmaktadır:

1. VM İzolasyonu ve Ağ Kısıtlaması Ayrı Güvenlik Sınırlarıdır: Bir ajanı Firecracker içine hapsetmek ana sunucuyu korur, ancak ajanın ağ üzerinden veri sızdırmasını veya iç ağdaki servislere saldırmasını engellemez. Sınır modeller artık basit güvenlik duvarı kurallarını aşacak kadar derin ağ protokolü bilgisine (DNS sahtekarlığı, paylaşımlı CDN IP istismarı, OCR ile görselden veri kaçırma) sahiptir. Ajan ağ geçitlerinde L7 seviyesinde TLS sonlandırma ve SNI/Host doğrulaması artık isteğe bağlı değil, zorunludur.
2. Donanım Gereksinimleri ve Operasyonel Gerçeklik: SPACE, bir kütüphane değil, tam teşekküllü bir altyapı platformudur. Kendi sunucularında (self-host) çalıştırmak isteyen ekiplerin /dev/kvm, /dev/net/tun, döngü cihazları (loop devices), Btrfs dosya sistemi ve ayrıcalıklı (privileged) konteynerlere izin veren bir Linux x86_64 ana makineye (doğrudan macOS üzerinde çalışmaz) ihtiyacı vardır.
3. E2B Uyumluluğu ile Sıfır Sürtünmeli Geçiş: Depo içerisinde yerleşik olarak gelen E2B Uyumluluk Sarmalayıcısı (ECW), sektörde yaygın olarak kullanılan E2B Python SDK’sı ile yazılmış mevcut ajan kodlarının tek bir satır iş mantığı değiştirilmeden kendi barındırdığınız (self-hosted) SPACE kümelerine taşınmasına olanak tanır.

"Mimari Not: Yapay zeka ajanlarının yetenekleri arttıkça, onları güvenli tutmanın yolu modele 'kötü bir şey yapma' diye sistem istemi (system prompt) yazmak değildir. Gerçek ajan yönetişimi; modelin her an kaçmaya çalışacağını varsayan deterministik çekirdek izolasyonu, kriptografik ağ denetimi ve sıfır-güven kimlik mimarisiyle inşa edilir."

Perplexity; daha önce açık kaynak yaptığı BrowseSafe (web sayfalarındaki gizli istem enjeksiyonlarını tespit eden model), Numbat (tehlikeli ajan davranışlarını inceleyen araç seti) ve Bumblebee (geliştirici makinelerindeki riskli AI yapılandırmalarını tarayan tarayıcı) projelerinin yanına SPACE’i ekleyerek, otonom ajan çağının en kapsamlı açık kaynak güvenlik ve çalışma zamanı yığınını (stack) tamamlamış görünmektedir. Ajan tabanlı sistemler inşa eden yazılım ekipleri için konteyner devri kapanmış, milisaniyelik durum bilgili mikro-VM devri resmen başlamıştır.