Sikre sandboxe til agenter

AI-agenter udfører rigtigt arbejde på vores vegne: redigerer filer, kører kode og udfører opgaver i flere trin over timer eller dage. Det kræver ofte adgang til fortrolige oplysninger, hvilket gør hvor en agent kører vigtigere end, hvor klog modelen er.

Sandboxe holder agenter sikre og giver dem adgang til de værktøjer og filer, de skal bruge for at fuldføre disse opgaver, samtidig med at følsomme oplysninger beskyttes.

Da vi udviklede vores agentplatform Computer, undersøgte vi hyldevarer inden for sandboxe. Hver løsning krævede, at vi overvejede afvejninger mellem funktionalitet, effektivitet og sikkerhed. Perplexity Computer havde brug for alle tre, så vi byggede en helt ny type sandbox.

I dag introducerer vi SPACE, en sandbox-platform designet til at frigøre Computers fulde potentiale og samtidig levere det højeste sikkerhedsniveau for avancerede agentsystemer.

Genopfindelse af sandbox-arkitekturen

SPACE opretter midlertidige sandboxe, som kun lever så længe, det er nødvendigt for at køre kode, interagere med filer eller udføre andre opgaver. Når opgaven er færdig, bliver sandboxen og alt indeni den slettet.

Til langsigtede opgaver, der skal overleve genstart, indkapsler SPACE hver sandbox i en Session, der kan sættes på pause, genoptages eller forgrene sig til flere sandboxe. SPACE's rullende snapshot-teknologi gør det muligt for kontekst at rejse med arbejdet, selvom ingen enkeltstående sandbox gør det.

Fjernelse af tidligere afvejninger

De fleste sandbox-platforme løser kun to af tre variabler: funktionalitet, effektivitet eller sikkerhed. Optimering af den ene har det med at ske på bekostning af en anden. Nogle løsninger har stærke isoleringsprimitiver, men efterlader legitimationsoplysninger eksponeret i miljøet. Andre udfører kortlivede job godt, men mister tilstand og fejler, når en Session skal køre i timer.

SPACE løser alle tre ved at adskille ansvarsområder på tværs af dedikerede tjenester. Network Gateway, Space Daemon og File Service beskytter hver en del af stakken. De leverer også legitimationsoplysninger udefra sandboxen præcis i det øjeblik, de er nødvendige.

Med dette design har en kompromitteret agent som standard ingen vej til platformadministrerede legitimationsoplysninger. Og den har ikke adgang ud over den opgave, den fik tildelt, uanset Sessionens varighed eller backend.

Skabelse af tre sikkerhedslag

SPACE består af tre nøglelag, der hver har indbygget stærke sikkerhedsforanstaltninger:

Control Plane: Det første lag i SPACEs arkitektur. Control Plane er ansvarlig for at orkestrere sandboxens livscyklus. Den modtager alle anmodninger gennem en enkelt API, sporer sandbox-tilstanden og beslutter i realtid, hvilken backend der skal routes til. Den fastslår, hvornår en opgave har brug for en ny sandbox. Den beslutter også, hvornår en opgave er fuldført, og dens tilsvarende sandbox kan slettes. Da Control Plane er tilstandsløs og centralt hostet, fungerer det samme API-kald på enhver eksisterende infrastruktur, inklusive en lokal maskine.

Node-level Services: I SPACE er det ved Node-level Services, at Perplexity's sikkerhedsprofil skiller sig ud. Med SPACE kommer legitimationsoplysninger aldrig ind i sandboxen. I stedet videregives de udefra sandboxen præcist i det øjeblik, de er nødvendige. Når en agent har brug for midlertidig adgang til at oprette forbindelse til en Google-konto, kan SPACE håndtere login-flowet uden at eksponere legitimationsoplysninger inde i sandboxen. Udgående netværkstrafik styres også på nodeniveau. En kompromitteret agent kan ikke nå noget uden for sit tilladte omfang.

In-sandbox: In-sandbox-laget er SPACEs sidste forsvarslinje. Med SPACE kører hver opgave inde i en Firecracker microVM, et fuldstændigt isoleret miljø med sit eget operativsystem. Det betyder, at intet indeni kan påvirke værten eller andre sandboxe, der kører parallelt. Space Daemon er den eneste proces, der taler med Perplexity's kontrolplan. Den bærer operationelle signaler som start-, pause- og snapshot-kommandoer. Det er det, der gør kommunikationskanalen reviderbar og kontrollerbar.

Tilbud om et komplet sæt af kontrolmuligheder

SPACE er unik blandt udbydere ved at tilbyde et komplet sæt af kontrolmuligheder. SPACE kombinerer pause og genoptagelse, Session-forgrening, Session-specifik isolering af legitimationsoplysninger, protokolvideresendelse og multi-backend-orkestrering i en enkelt platform.

SPACE tager rullende snapshots af hele Sessionens tilstand, hvor livsomplevende hukommelse fanges sammen med filer så ofte som hvert minut. Den kan gå en uge tilbage i tiden. Det er dybest set en indbygget tidsmaskine: Enhver kan gå væk midt i en opgave, vende tilbage en uge senere, og agenten fortsætter præcis der, hvor den blev sat på pause.

SPACE behandler som standard sandboxen som ikke-troværdig og omgiver den med netværkskontroller, legitimationskontroller, lejeradskillelse og krypteret lagring. Hvis det ene lag kompromitteres, vil de andre beskytte personlige oplysninger.

Med SPACE kan virksomhedskunder også medbringe deres egne krypteringsnøgler. Hvis en kunde tilbagekalder deres nøgle, kan nye sandboxe ikke starte, og eksisterende kundekrypterede data kan ikke længere dekrypteres.

For dem, der arbejder med særligt følsomme data, er SPACE designet til at fungere både on-prem og fuldstændigt offline. Dette kontrolniveau sikrer, at data aldrig behøver at forlade et sikkert miljø.

Drivkraft for Perplexity

Perplexity-ingeniører tog SPACE fra koncept til produkt på 10 uger. Vi har brugt SPACE internt de sidste to måneder. I den ugentlige periode har den understøttet millioner af sandbox-oprettelser og ti millioner af sandbox-genforbindelser. Den er live i Computer for alle brugere i dag.

SPACE blev bygget til at køre hvor som helst. I en tidlig test på NVIDIA Vera CPU kørte faktiske Computer-lignende arbejdsprocesser omtrent 1,5 gange hurtigere end vores nuværende produktionsreference og startede samtidige sandboxe op til 1,9 gange hurtigere. Dette tidlige signal viser, at Vera vil levere en exceptionel værdi for agent-sandboxe og bekræfter den backend-agnosticisme, der ligger bag SPACE.

Investering i sikre miljøer

Vi mener ikke, at der bør være en afvejning mellem funktionalitet, effektivitet og sikkerhed. Agenter bør arbejde på tværs af de samme data som os med den samme tillid, som vi ville placere i enhver kollega.

SPACE er blot den første iteration af dette sikre miljø. Efterhånden som AI fortsætter med at udvikle sig, vil vores sikkerheds- og infrastruktursystemer også gøre det.

Se Making SPACE: Secure and Efficient Runtimes for Long-Running Agents for flere detaljer.