Zveřejňujeme zdrojový kód SPACE, platformy sandboxů, na které běží Computer

Od únorového spuštění služby Computer patří Perplexity k průkopníkům v oblasti osobních agentů. Věnujeme se náročným problémům správy agentů – odhalování nebezpečného chování a předcházení činnosti agentů, kteří se vymkli kontrole. V červenci jsme nahradili komerčně dostupného poskytovatele sandboxů robustnějším a odolnějším interním řešením, které jsme pojmenovali SPACE.

SPACE poskytuje vysokou úroveň zabezpečení pro pokročilé agentní systémy. Nedávná série bezpečnostních testů dokonce prokázala, že SPACE odolá technikám obcházení síťových omezení, jako byly ty použité při incidentu OpenAI/Hugging Face.

Dnes zveřejňujeme SPACE jako open source, abychom vývojářům poskytli základ pro vytváření bezpečnějších agentních systémů a přispěli k silnější ochraně napříč celým odvětvím. Vývojáři najdou repozitář zde.

Správa agentů je inženýrský problém a open source je pro jeho řešení nezbytný. Když mají vývojáři systémy, které mohou zkoumat, přizpůsobovat a na nichž mohou stavět, najdou více slabin a vyvinou lepší nástroje. Zveřejnění zdrojového kódu SPACE dává vývojářům v produkci otestovaný základ pro běhová prostředí agentů s vestavěnou izolací, obnovou stavu a řízením přihlašovacích údajů i síťového přístupu.

Vytváření základu pro další tvůrce

Sandboxy udržují agenty v bezpečí: umožňují jim přistupovat k nástrojům a souborům, které k plnění těchto úkolů potřebují, a zároveň chrání citlivé informace.

Zveřejnění zdrojového kódu SPACE dává vývojářům výchozí bod pro prostředí, v nichž jejich agenti spouštějí kód a pracují se soubory. Týmy mohou zjistit, jak platforma sandboxů SPACE funguje, a stavět na její implementaci. Mohou ji také přizpůsobit svým potřebám, místo aby znovu vytvářely základní infrastrukturu.

Ve službě Computer podporuje SPACE izolované spouštění kódu, pozastavení a pokračování, obnovu po selhání a větvení relací. Tyto funkce tvoří základ pro asistenty, kteří by mohli:

• Analyzovat data: Vyčistit tabulku, provést výpočty a vytvořit grafy v samostatném pracovním prostředí.
• Pokračovat v práci: Pozastavit práci, aby někdo mohl zkontrolovat koncept nebo doplnit chybějící informace, a poté pokračovat se zachovanými soubory i stavem běžícího prostředí.
• Zkoumat alternativy: Vyzkoušet dva způsoby vyčištění datové sady v samostatných kopiích pracovního prostředí nebo po chybě obnovit dřívější verzi souboru.

Tyto příklady ukazují, jak by vývojáři mohli využít zdokumentované funkce izolace a řízení relací v SPACE. Platformní a bezpečnostní inženýři si také mohou před integrací SPACE do vlastních systémů prostudovat model izolace a bezpečnostní příklady.

Vyšší bezpečnost pro autonomní práci

Když agentům dáváme více prostoru k řešení problémů, potřebujeme jasné limity toho, jak to dělají. Víme, že i agenti plnící legitimní úkoly mohou překročit bezpečnostní hranice, když se snaží obejít chybějící soubory, neúspěšné požadavky nebo odepřená oprávnění.

Do modelů můžeme zavést ochranná opatření, která snižují pravděpodobnost nebezpečného chování. Nezávislé kontroly v okolním systému pomáhají omezit škody, pokud tato opatření selžou. Omezují to, k čemu má agent přístup, bez ohledu na to, co se rozhodne udělat.

SPACE obklopuje těmito ochrannými mechanismy samostatné pracovní prostředí pro kód a soubory generované agenty. Navrhli jsme ho tak, aby spojoval izolaci, obnovu a efektivní spouštění. Agenti tak mohou v dlouhých relacích vykonávat užitečnou práci, aniž by se při dodržování bezpečnostních hranic museli spoléhat pouze na samotný model.

Běh ve vlastním operačním systému

Každý sandbox SPACE běží uvnitř malého virtuálního stroje s vlastním operačním systémem, čímž vzniká izolační hranice mezi prací agenta a hostitelským systémem. Centrální řídicí rovina koordinuje, kdy se tato pracovní prostředí vytvářejí, pozastavují, obnovují nebo odstraňují.

SPACE považuje sandbox za nedůvěryhodný a síťový přístup i přihlašovací údaje spravované platformou řídí mimo sandbox. Agenti se tak mohou připojovat k autorizovaným službám, aniž by tyto přihlašovací údaje byly uloženy v jejich pracovním prostředí.

Časté snímky souborů a kontrolní body celého běžícího prostředí uchovávají průběh práce i při přerušení. Aby tyto operace zůstaly efektivní, SPACE ukládá pouze změny, místo aby opakovaně kopíroval celá prostředí. Tím se snižuje množství práce potřebné k vytvoření, obnovení nebo rozvětvení sandboxu.

Zlepšení výkonu v produkci

Od července SPACE pohání všechny relace služby Computer a denně zajišťuje vytvoření milionů sandboxů. Při srovnání na stejném produkčním provozu bylo vytváření sandboxů třikrát až pětkrát rychlejší než u našeho předchozího poskytovatele.

Také jsme otestovali SPACE proti agentům, kteří se záměrně snažili prolomit jeho hranice. Naše zveřejněné bezpečnostní hodnocení nezjistilo ve 108 pokusech žádný únik z virtuálního stroje do hostitelského systému, některým pokusům se však podařilo obejít síťová omezení. Tyto slabiny jsme opravili a při následném testování neuspěla ani jedna z obou zjištěných metod útoku.

Související slabiny, které jsme našli v jiných platformách sandboxů, jsme také oznámili jejich dodavatelům, a tuto práci jsme tak rozšířili i mimo naši vlastní infrastrukturu.

Příspěvek k bezpečnější agentní AI

SPACE je součástí širšího úsilí o posílení systémů, na které se lidé spoléhají, když AI přebírá stále více práce. Prostřednictvím Secure Intelligence Institute provádíme bezpečnostní výzkum, spolupracujeme s širší komunitou a převádíme zjištění do praktických obranných opatření.

Věříme, že zveřejnění zdrojového kódu bezpečnostních nástrojů dává vývojářům více možností testovat obranu, hledat slabiny a budovat bezpečnější systémy AI. Sdílíme nástroje, které se zaměřují na různé části této práce:

• BrowseSafe, model a benchmark pro odhalování škodlivých instrukcí skrytých na webových stránkách.
• Numbat, bezpečnostní sada nástrojů, jejíž zdrojový kód jsme zveřejnili v červenci a která pomáhá odhalovat a vyšetřovat nebezpečné chování agentů na počítačích a předcházet mu
• Bumblebee, skener, jehož zdrojový kód jsme zveřejnili v květnu a který na vývojářských počítačích kontroluje rizikové softwarové balíčky, rozšíření a konfigurace nástrojů AI

Zpřístupnění těchto nástrojů umožňuje dalším týmům prověřit naši práci, přizpůsobit ji svým potřebám a přispívat vylepšeními. Se SPACE tento přístup rozšiřujeme i na prostředí, ve kterých agenti spouštějí kód a pracují se soubory.

Nasazení pro agentní systémy

Společnost Akamai otestovala a spustila SPACE na své cloudové platformě a spolupracuje se společností Perplexity na jeho zpřístupnění svým zákazníkům. Společnost Crusoe rovněž spolupracuje se společností Perplexity na zařazení SPACE do svého portfolia Managed AI Services. Společnost CoreWeave zveřejnila pokyny k nastavení pro vývojáře, kteří chtějí SPACE nasadit na CKS za účelem vyhodnocení.

Vývojáři mohou začít s pokyny k nastavení a bezpečnostními doporučeními SPACE a nasadit ho pro vlastní agentní systémy. Repozitář a dokumentace definují podporované konfigurace a obsažené komponenty.