Bezpečné sandboxy pro agenty

Agenti s umělou inteligencí odvádějí skutečnou práci za nás: upravují soubory, spouštějí kód a provádějí vícestupňové úkoly trvající hodiny nebo dny. To často vyžaduje přístup k soukromým informacím, což znamená, že kde agent běží, je důležitější než to, jak je model chytrý.

Sandbox udržuje agenty v bezpečí, umožňuje jim přístup k nástrojům a souborům, které potřebují k dokončení těchto úkolů, a zároveň chrání citlivé informace.

Při vývoji naší agentové platformy Computer jsme prozkoumali hotové možnosti sandboxů. Každá volba od nás vyžadovala zvážení kompromisů mezi funkcionalitou, efektivitou a bezpečností. Perplexity Computer potřeboval všechny tři, a proto jsme vytvořili zcela nový typ sandboxu.

Dnes představujeme SPACE, platformu sandboxu navrženou tak, aby naplno odemkla potenciál Computeru a zároveň poskytovala nejvyšší úrovně zabezpečení pro pokročilé agentové systémy.

Znovuobjevování architektury sandboxu

SPACE spouští pomíjivé sandboxy, které žijí pouze tak dlouho, jak je to nutné pro spuštění kódu, interakci se soubory nebo jiné úkoly. Po dokončení úkolu je sandbox a vše uvnitř něj zničeno.

Pro dlouhodobou práci, která musí přežít restarty, zabalí SPACE každý sandbox do relace, kterou lze pozastavit, obnovit nebo rozdělit do několika sandboxů. Technologie průběžných snímků SPACE umožňuje kontextu cestovat s prací, i když žádný jednotlivý sandbox necestuje.

Odstranění dřívějších kompromisů

Většina platforem sandboxu řeší pouze dvě ze tří proměnných: funkcionalitu, efektivitu nebo bezpečnost. Optimalizace pro jednu obvykle přináší úkor druhé. Některá řešení mají silné izolační primitivy, ale nechávají pověření vystavená uvnitř prostředí. Jiné dobře provádějí krátkodobé úlohy, ale ztrácejí stav a selhávají, když relace musí běžet hodiny.

SPACE řeší všechny tři oddělením zájmů napříč vyhrazenými službami. Network Gateway, Space Daemon a File Service zabezpečují každá jinou část zásobníku. Rovněž poskytují pověření z vnějšku sandboxu přesně v okamžiku, kdy jsou potřeba.

Díky tomuto designu nemá kompromitovaný agent ve výchozím nastavení žádnou cestu k pověřením spravovaným platformou. A nemá přístup nad rámec úkolu, který mu byl přidělen, bez ohledu na trvání relace nebo backend.

Vytváření tří vrstev zabezpečení

SPACE se skládá ze tří klíčových vrstev, z nichž každá má zabudovaná silná bezpečnostní opatření:

Control Plane: První vrstva architektury SPACE, Control Plane, odpovídá za orchestraci životního cyklu sandboxu. Přijímá každý požadavek prostřednictvím jediného API, sleduje stav sandboxu a v reálném čase rozhoduje, na který backend směrovat. Určuje, kdy úkol vyžaduje nový sandbox. Rovněž rozhoduje, kdy je úkol dokončen a jeho odpovídající sandbox může být zničen. Protože je Control Plane bezstavová a centrálně hostovaná, stejné volání API funguje na jakékoli existující infrastruktuře, včetně lokálního stroje.

Node-level Services: Ve SPACE je Node-level Services místem, kde vyniká bezpečnostní postoj Perplexity. Se SPACE pověření nikdy neprocházejí do sandboxu. Místo toho jsou předávána z vnějšku sandboxu pouze v přesný okamžik, kdy jsou potřeba. Když agent potřebuje dočasný přístup k připojení k účtu Google, SPACE dokáže zpracovat tok přihlášení bez vystavení pověření uvnitř sandboxu. Odchozí síťový provoz je také řízen na úrovni uzlu. Kompromitovaný agent se nedostane k ničemu mimo svůj povolený rozsah.

In-sandbox: In-sandbox vrstva je poslední linií obrany SPACE. Se SPACE každý úkol běží uvnitř mikroVM Firecracker, plně izolovaného prostředí s vlastním operačním systémem. To znamená, že nic uvnitř nemůže ovlivnit hostitele ani žádný jiný sandbox běžící pararelně. Space Daemon je jediný proces, který komunikuje s řídicí rovinou Perplexity. Přenáší provozní signály, jako jsou příkazy spuštění, pozastavení a snímku. Právě to činí komunikační kanál auditovatelným a kontrolovatelným.

Nabídka kompletní sady ovládacích prvků

SPACE je mezi poskytovateli jedinečný tím, že nabízí kompletní sadu ovládacích prvků. SPACE kombinuje pozastavení a obnovení, klonování relace, izolaci pověření na relaci, přesměrování protokolů a orchestraci s více backendy v jediné platformě.

SPACE pořizuje průběžné snímky celého stavu relace, zachycuje živou paměť spolu se soubory tak často, jako každou minutu. Může se vrátit v čase o týden. Je to v podstatě vestavěný stroj času: Kdokoli může odejít uprostřed úkolu, vrátit se o týden později a agent pokračuje přesně tam, kde byl pozastaven.

SPACE považuje sandbox ve výchozím nastavení za nedůvěryhodný a obklopuje ho síťovými ovládacími prvky, ovládacími prvky pověření, oddělením nájemců a šifrovaným úložištěm. Pokud je jedna vrstva kompromitována, ostatní ochrání osobní údaje.

Se SPACE mohou podnikoví zákazníci přinést také vlastní šifrovací klíče. Pokud zákazník svůj klíč odvolá, nové sandboxy se nemohou spustit a stávající data šifrovaná zákazníkem již nelze dešifrovat.

Pro ty, kteří pracují s obzvláště citlivými daty, je SPACE navržen tak, aby fungoval jak on-prem, tak plně offline. Tato úroveň kontroly zajišťuje, že data nikdy nemusí opustit zabezpečené prostředí.

Napájení Perplexity

Inženýři Perplexity převedli SPACE z konceptu na produkt za 10 týdnů. SPACE používáme interně poslední dva měsíce. Za poslední týden podpořil miliony vytvoření sandboxů a desítky milionů opětovných připojení sandboxu. Dnes je v provozu v Computeru pro všechny uživatele.

SPACE byl vytvořen tak, aby fungoval kdekoli. V počátečním testu na CPU NVIDIA Vera běhaly pracovní postupy ve stylu Computeru přibližně 1,5krát rychleji než naše současná produkční reference a spustily souběžné sandboxy až 1,9krát rychleji. Tento počáteční signál ukazuje, že Vera přinese výjimečnou hodnotu pro agentové sandboxy a ověřuje agnosticitu backendu za SPACE.

Investice do zabezpečených prostředí

Věříme, že by neměl existovat kompromis mezi funkcionalitou, efektivitou a bezpečností. Agent by měl pracovat se stejnými daty jako my, se stejnou důvěrou, jakou bychom vložili do kteréhokoli kolegy.

SPACE je pouze první iterací tohoto zabezpečeného prostředí. Jak se AI bude nadále vyvíjet, naše bezpečnostní a infrastrukturní systémy se budou vyvíjet také.

Podívejte se na Making SPACE: Secure and Efficient Runtimes for Long-Running Agents pro další podrobnosti.