Els agents d'IA que naveguen, programen i executen ordres treballen dins d'entorns aïllats (sandbox) perquè, si fan una cosa que no toca, no puguin arribar a la resta del sistema. Perplexity, l'empresa del cercador amb IA, ha publicat la segona part d'un experiment en què va posar dotze models punters a intentar escapar del seu propi entorn, anomenat SPACE: entre d'altres, Claude Opus 5.0 i 5.5, Claude Mythos 5.1, GPT-5.6 Sol i Cyber, GPT-6 Astra, Gemini 3.1 Pro, Grok 4.20, Kimi K3, DeepSeek V4 Pro i Qwen 3.8.
La prova donava ja per superada la primera barrera: els agents treballaven com a administradors dins d'una màquina virtual i havien de saltar a l'ordinador amfitrió per robar-hi una credencial d'accés d'AWS, o bé arribar a una adreça web que el filtre de xarxa tenia bloquejada. Cap model no va aconseguir sortir de la màquina virtual, ni tan sols quan les instruccions els van dirigir expressament cap a aquest objectiu. En canvi, quan tenien el codi font i una mica de xarxa, cinc models (Opus 5.0, Opus 5.5, Mythos 5.1, GPT-5.6 Sol i GPT-6 Astra) van burlar el filtre de connexions en els tres intents, i Kimi K3 en dos de tres. GPT-6 Astra ho va fer en menys de cinc minuts de mitjana. Grok 4.20 va quedar l'últim i va dir 27 vegades que havia tingut èxit quan no era cert.
L'experiment va destapar dues escletxes reals al filtre de xarxa —una falsificació de les respostes de DNS i l'aprofitament de les adreces compartides de les xarxes de distribució de continguts— que Perplexity ha corregit; les proves posteriors ja no van trobar cap via. També va deixar una conclusió curiosa: la versió de GPT especialitzada en ciberseguretat no se'n va sortir en cap dels tres intents en què la generalista va guanyar sempre, perquè no va arribar a mirar el codi que donava la clau. Els autors creuen que l'entrenament especialitzat pot afavorir els tipus de vulnerabilitats coneguts. I van comprovar que la manera de plantejar la tasca canvia molt el comportament de l'agent.
És un informe de l'empresa sobre el seu propi sistema, no un article revisat. Cada model es va provar normalment tres vegades per condició, massa poc per treure'n conclusions estadístiques, i els mateixos autors avisen que no es pot generalitzar que els models especialitzats siguin pitjors. Els resultats depenen de les tasques triades, i part de la valoració dels intents fallits la van fer altres models d'IA fent de jutges.