SPACE, die Sandbox-Plattform hinter Computer, ist jetzt Open Source

Seit dem Start von Computer im Februar ist Perplexity ein früher Vorreiter bei persönlichen Agenten. Wir stellen uns den schwierigen Fragen der Agent-Governance: unsicheres Verhalten erkennen und unkontrollierte Agentenaktivitäten verhindern. Im Juli haben wir unseren kommerziellen Sandbox-Anbieter durch eine robustere und widerstandsfähigere Eigenentwicklung ersetzt, die wir SPACE genannt haben.

SPACE bietet hohe Sicherheit für fortschrittliche agentische Systeme. Tatsächlich hat eine kürzlich durchgeführte Reihe intensiver Sicherheitstests gezeigt, dass SPACE gegen Techniken zur Umgehung von Netzwerkbeschränkungen widerstandsfähig ist, wie sie beim Vorfall bei OpenAI/Hugging Face eingesetzt wurden.

Heute veröffentlichen wir SPACE als Open Source, um Entwicklern eine Grundlage für den Aufbau sichererer Agentensysteme zu bieten und zu stärkeren Schutzmaßnahmen in der gesamten Branche beizutragen. Entwickler finden das Repository hier.

Agent-Governance ist ein technisches Problem, und Open Source ist entscheidend für seine Lösung. Wenn Entwickler über Systeme verfügen, die sie prüfen, anpassen und weiterentwickeln können, finden sie mehr Schwachstellen und entwickeln bessere Tools. Mit SPACE als Open Source erhalten Entwickler eine im Produktivbetrieb erprobte Grundlage für Agent-Laufzeitumgebungen – mit integrierter Isolation, Zustandswiederherstellung sowie Kontrollen für Anmeldedaten und Netzwerkzugriff.

Eine Grundlage für andere Entwickler schaffen

Sandboxes halten Agenten sicher: Sie erhalten Zugriff auf die Tools und Dateien, die sie für diese Aufgaben benötigen, während sensible Informationen geschützt bleiben.

Mit SPACE als Open Source erhalten Entwickler einen Ausgangspunkt für die Umgebungen, in denen ihre Agenten Code ausführen und mit Dateien arbeiten. Teams können nachvollziehen, wie die Sandbox-Plattform SPACE funktioniert, und auf ihrer Implementierung aufbauen. Außerdem können sie die Plattform an ihre Anforderungen anpassen, statt die zugrunde liegende Infrastruktur neu zu entwickeln.

In Computer unterstützt SPACE isolierte Codeausführung, Pausieren und Fortsetzen, Wiederherstellung sowie das Verzweigen von Sitzungen. Diese Fähigkeiten bilden die Grundlage für Assistenten, die Folgendes könnten:

• Daten analysieren: Eine Tabelle bereinigen, Berechnungen durchführen und Diagramme in einer separaten Arbeitsumgebung erstellen.
• Arbeit fortsetzen: Pausieren, damit jemand einen Entwurf prüfen oder fehlende Informationen liefern kann, und anschließend weitermachen, wobei die Dateien und der Laufzeitzustand erhalten bleiben.
• Alternativen ausprobieren: Zwei Möglichkeiten zur Bereinigung eines Datensatzes in getrennten Kopien der Arbeitsumgebung testen oder nach einem Fehler eine frühere Dateiversion wiederherstellen.

Diese Beispiele zeigen, wie Entwickler die dokumentierten Isolations- und Sitzungssteuerungen von SPACE nutzen könnten. Plattform- und Sicherheitsingenieure können zudem das Isolationsmodell und die Sicherheitsbeispiele prüfen, bevor sie SPACE in ihre eigenen Systeme integrieren.

Mehr Sicherheit für autonomes Arbeiten

Wenn wir Agenten mehr Spielraum beim Lösen von Problemen geben, brauchen wir klare Grenzen dafür, wie sie dabei vorgehen. Wir wissen, dass Agenten selbst bei legitimen Aufgaben Sicherheitsgrenzen überschreiten können, wenn sie versuchen, fehlende Dateien, fehlgeschlagene Anfragen oder verweigerte Berechtigungen zu umgehen.

Wir können Schutzmechanismen im Modell einsetzen, um die Wahrscheinlichkeit unsicheren Verhaltens zu verringern. Unabhängige Kontrollen im umgebenden System helfen, den Schaden einzudämmen, falls diese Schutzmechanismen versagen. Sie begrenzen, worauf ein Agent zugreifen kann – unabhängig davon, wie er sich entscheidet.

SPACE legt diese Kontrollen um eine separate Arbeitsumgebung für von Agenten erzeugten Code und Dateien. Wir haben SPACE so konzipiert, dass es Isolation, Wiederherstellung und effiziente Ausführung vereint. So können Agenten über lange Sitzungen hinweg sinnvolle Arbeit leisten, ohne dass man sich allein darauf verlassen muss, dass das Modell Sicherheitsgrenzen einhält.

Ausführung in einem eigenen Betriebssystem

Jede SPACE-Sandbox läuft in einer kleinen virtuellen Maschine mit eigenem Betriebssystem. So entsteht eine Isolationsgrenze zwischen der Arbeit des Agenten und dem Hostsystem. Eine zentrale Steuerungsebene koordiniert, wann diese Arbeitsumgebungen erstellt, pausiert, fortgesetzt oder entfernt werden.

SPACE behandelt die Sandbox als nicht vertrauenswürdig und verwaltet den Netzwerkzugriff sowie die von der Plattform gehaltenen Anmeldedaten außerhalb der Sandbox. Agenten können sich mit autorisierten Diensten verbinden, ohne dass diese Anmeldedaten in ihrer Arbeitsumgebung gespeichert werden.

Häufige Datei-Snapshots und Checkpoints der gesamten laufenden Umgebung sichern den Fortschritt über Unterbrechungen hinweg. Damit diese Vorgänge effizient bleiben, speichert SPACE nur Änderungen, statt wiederholt ganze Umgebungen zu kopieren. Das verringert den Aufwand für das Erstellen, Wiederherstellen oder Verzweigen einer Sandbox.

Bessere Leistung im Produktivbetrieb

Seit Juli läuft jede Computer-Sitzung auf SPACE, und die Plattform verarbeitet täglich Millionen von Sandbox-Erstellungen. In einem Vergleich mit demselben Produktions-Traffic war die Sandbox-Erstellung drei- bis fünfmal schneller als bei unserem bisherigen Anbieter.

Außerdem haben wir SPACE getestet – mit Agenten, die gezielt versuchten, seine Grenzen zu durchbrechen. Unsere veröffentlichte Sicherheitsbewertung ergab bei 108 Versuchen keinen Ausbruch aus der virtuellen Maschine auf den Host, einige Agenten fanden jedoch Wege, Netzwerkbeschränkungen zu umgehen. Wir haben diese Schwachstellen behoben, und in Folgetests war keine der beiden identifizierten Angriffsmethoden mehr erfolgreich.

Verwandte Schwachstellen, die wir in anderen Sandbox-Plattformen gefunden haben, haben wir zudem den jeweiligen Anbietern gemeldet und diese Arbeit so über unsere eigene Infrastruktur hinaus ausgeweitet.

Ein Beitrag zu sichererer agentischer KI

SPACE ist Teil einer umfassenderen Initiative, die Systeme zu stärken, auf die sich Menschen verlassen, während KI immer mehr Arbeit übernimmt. Über das Secure Intelligence Institute betreiben wir Sicherheitsforschung, arbeiten mit der breiteren Community zusammen und setzen Erkenntnisse in praktische Schutzmaßnahmen um.

Wir sind überzeugt, dass Open-Source-Sicherheitstools Entwicklern mehr Möglichkeiten geben, Abwehrmaßnahmen zu testen, Schwachstellen zu finden und sicherere KI-Systeme zu entwickeln. Wir haben Tools veröffentlicht, die verschiedene Bereiche dieser Arbeit abdecken:

• BrowseSafe, ein Modell und ein Benchmark zur Erkennung bösartiger Anweisungen, die in Webseiten versteckt sind.
• Numbat, ein im Juli als Open Source veröffentlichtes Sicherheits-Toolkit, das hilft, gefährliches Agentenverhalten auf Computern zu erkennen, zu untersuchen und zu verhindern
• Bumblebee, ein im Mai als Open Source veröffentlichter Scanner, der Entwicklerrechner auf riskante Softwarepakete, Erweiterungen und KI-Tool-Konfigurationen prüft

Indem wir diese Tools verfügbar machen, können andere Teams unsere Arbeit prüfen, an ihre Anforderungen anpassen und Verbesserungen beisteuern. Mit SPACE übertragen wir diesen Ansatz auf die Umgebungen, in denen Agenten Code ausführen und mit Dateien arbeiten.

Bereitstellung für Agentensysteme

Akamai hat SPACE auf seiner Cloud-Plattform getestet und eingeführt und arbeitet mit Perplexity zusammen, um es seinen Kunden zur Verfügung zu stellen. Auch Crusoe kooperiert mit Perplexity, um SPACE in sein Portfolio an Managed AI Services aufzunehmen. CoreWeave hat eine Einrichtungsanleitung für Entwickler veröffentlicht, die SPACE zu Evaluierungszwecken auf CKS bereitstellen möchten.

Entwickler können mit den Einrichtungsanweisungen und Sicherheitshinweisen von SPACE beginnen, um es für ihre eigenen Agentensysteme bereitzustellen. Das Repository und die Dokumentation beschreiben die unterstützten Konfigurationen und enthaltenen Komponenten.