Sichere Sandboxes für Agenten

KI-Agenten erledigen in unserem Namen echte Arbeit: das Bearbeiten von Dateien, das Ausführen von Code und das Erledigen von mehrstufigen Aufgaben über Stunden oder Tage hinweg. Dies erfordert häufig Zugriff auf private Informationen, weshalb der Ort, an dem ein Agent ausgeführt wird, wichtiger ist als die Intelligenz des Modells selbst.

Sandboxes halten Agenten sicher und ermöglichen ihnen den Zugriff auf die Werkzeuge und Dateien, die sie zur Erledigung dieser Aufgaben benötigen, während sensible Informationen geschützt bleiben.

Bei der Entwicklung unserer Agenten-Plattform Computer haben wir uns mit handelsüblichen Sandbox-Optionen auseinandergesetzt. Jede Option erforderte Abwägungen zwischen Funktionalität, Effizienz und Sicherheit. Perplexity Computer benötigte alle drei, daher haben wir eine völlig neue Art von Sandbox entwickelt.

Heute stellen wir SPACE vor, eine Sandbox-Plattform, die entwickelt wurde, um die volle Leistungsfähigkeit von Computer freizusetzen und gleichzeitig ein Höchstmaß an Sicherheit für fortschrittliche agentische Systeme zu bieten.

Neugestaltung der Sandbox-Architektur

SPACE erstellt kurzlebige Sandboxes, die nur so lange existieren, wie sie für die Ausführung von Code, die Interaktion mit Dateien oder andere Aufgaben benötigt werden. Wenn die Aufgabe abgeschlossen ist, werden die Sandbox und alles darin zerstört.

Für langfristige Arbeiten, die Neustarts überdauern müssen, verpackt SPACE jede Sandbox in eine Sitzung, die pausiert, fortgesetzt oder in mehrere Sandboxes verzweigt werden kann. Die Rolling-Snapshot-Technologie von SPACE ermöglicht es, dass Kontext mit der Arbeit mitreist, auch wenn keine einzelne Sandbox dies tut.

Eliminierung bisheriger Kompromisse

Die meisten Sandbox-Plattformen lösen nur zwei von drei Variablen: Funktionalität, Effizienz oder Sicherheit. Die Optimierung einer Variable geht meist zu Lasten einer anderen. Einige Lösungen verfügen über starke Isolationsmechanismen, lassen jedoch Anmeldedaten innerhalb der Umgebung exponiert. Andere führen kurzlebige Aufträge gut aus, verlieren jedoch den Status und versagen, wenn eine Sitzung über Stunden laufen muss.

SPACE löst alle drei Anforderungen, indem es Zuständigkeiten über dedizierte Dienste trennt. Das Network Gateway, der Space Daemon und der File Service sichern jeweils einen anderen Teil des Stacks ab. Sie übermitteln Anmeldedaten von außerhalb der Sandbox zudem nur in dem Moment, in dem sie tatsächlich benötigt werden.

Durch dieses Design hat ein kompromittierter Agent standardmäßig keinen Zugriff auf plattformverwaltete Anmeldedaten. Zudem hat er keinen Zugriff über die ihm zugewiesene Aufgabe hinaus, unabhängig von der Dauer der Sitzung oder dem Backend.

Schaffung von drei Sicherheitsebenen

SPACE besteht aus drei Schlüsselebenen, in die jeweils starke Sicherheitsmaßnahmen integriert sind:

Control Plane: Die erste Ebene der Architektur von SPACE, die Control Plane, ist für die Orchestrierung des Lebenszyklus der Sandbox verantwortlich. Sie empfängt jede Anfrage über eine einzige API, verfolgt den Status der Sandbox und entscheidet in Echtzeit, an welches Backend weitergeleitet wird. Sie bestimmt, wann eine Aufgabe eine neue Sandbox benötigt. Sie entscheidet auch, wann eine Aufgabe abgeschlossen ist und die entsprechende Sandbox zerstört werden kann. Da die Control Plane zustandslos und zentral gehostet ist, funktioniert derselbe API-Aufruf auf jeder vorhandenen Infrastruktur, einschließlich lokaler Maschinen.

Node-level Services: In SPACE ist der Bereich Node-level Services der Punkt, an dem sich die Sicherheit von Perplexity besonders hervorhebt. Mit SPACE gelangen Anmeldedaten niemals in die Sandbox. Stattdessen werden sie erst in dem präzisen Moment von außerhalb der Sandbox übergeben, in dem sie benötigt werden. Wenn ein Agent temporären Zugriff für eine Verbindung zu einem Google-Konto benötigt, kann SPACE den Anmeldevorgang abwickeln, ohne Anmeldedaten innerhalb der Sandbox offenzulegen. Der ausgehende Netzwerkverkehr wird ebenfalls auf Knotenebene kontrolliert. Ein kompromittierter Agent kann nichts außerhalb seines zulässigen Bereichs erreichen.

In-sandbox: Die In-Sandbox-Ebene ist die letzte Verteidigungslinie von SPACE. Mit SPACE läuft jede Aufgabe innerhalb einer Firecracker-MicroVM, einer vollständig isolierten Umgebung mit eigenem Betriebssystem. Das bedeutet, dass nichts innerhalb der Sandbox den Host oder eine andere parallel laufende Sandbox beeinträchtigen kann. Der Space Daemon ist der einzige Prozess, der mit der Control Plane von Perplexity kommuniziert. Er übermittelt betriebliche Signale wie Start-, Pause- und Snapshot-Befehle. Dies macht den Kommunikationskanal prüfbar und kontrollierbar.

Angebot einer vollständigen Palette an Kontrollen

SPACE ist unter Anbietern einzigartig, da es eine vollständige Palette an Kontrollmöglichkeiten bietet. SPACE kombiniert Pausieren und Fortsetzen, Sitzungs-Forking, sitzungsbezogene Isolierung von Anmeldedaten, Protokollweiterleitung und Multi-Backend-Orchestrierung auf einer einzigen Plattform.

SPACE erstellt fortlaufende Snapshots des gesamten Sitzungsstatus und erfasst den Live-Speicher zusammen mit Dateien bis zu minütlich. Es ist möglich, bis zu einer Woche in die Vergangenheit zurückzugehen. Es ist im Wesentlichen eine integrierte Zeitmaschine: Jeder kann eine Aufgabe mitten im Prozess verlassen, eine Woche später zurückkehren, und der Agent macht genau dort weiter, wo er pausiert wurde.

SPACE behandelt die Sandbox standardmäßig als nicht vertrauenswürdig und umgibt sie mit Netzwerkkontrollen, Anmeldedatenkontrollen, Mandantentrennung und verschlüsselter Speicherung. Wenn eine Ebene kompromittiert wird, schützen die anderen die persönlichen Daten.

Mit SPACE können Unternehmenskunden auch ihre eigenen Verschlüsselungsschlüssel einbringen. Wenn ein Kunde seinen Schlüssel widerruft, können neue Sandboxes nicht gestartet werden und bereits kundenseitig verschlüsselte Daten können nicht mehr entschlüsselt werden.

Für diejenigen, die mit besonders sensiblen Daten arbeiten, ist SPACE so konzipiert, dass es sowohl On-Premise als auch vollständig offline funktioniert. Dieses Maß an Kontrolle stellt sicher, dass Daten niemals eine sichere Umgebung verlassen müssen.

Antrieb für Perplexity

Die Ingenieure von Perplexity haben SPACE in 10 Wochen vom Konzept zum Produkt entwickelt. Wir nutzen SPACE bereits seit zwei Monaten intern. In der letzten Woche hat es Millionen von Sandbox-Erstellungen und zig Millionen Sandbox-Wiederverbindungen unterstützt. Es ist heute in Computer für alle Benutzer live.

SPACE wurde entwickelt, um überall zu laufen. In einem frühen Test auf NVIDIA Vera CPUs liefen Workflows im Computer-Stil etwa 1,5-mal schneller als unsere aktuelle Produktionsreferenz und starteten gleichzeitige Sandboxes bis zu 1,9-mal schneller. Dieses frühe Signal zeigt, dass Vera einen außergewöhnlichen Mehrwert für agentische Sandboxes bieten wird und validiert die Backend-Agnostik hinter SPACE.

Investition in sichere Umgebungen

Wir glauben, dass es keinen Kompromiss zwischen Funktionalität, Effizienz und Sicherheit geben sollte. Agenten sollten mit denselben Daten arbeiten wie wir, mit demselben Vertrauen, das wir jedem Teamkollegen entgegenbringen würden.

SPACE ist nur die erste Iteration dieser sicheren Umgebung. Während sich KI weiterentwickelt, werden dies auch unsere Sicherheits- und Infrastruktursysteme tun.

Weitere Details finden Sie unter Making SPACE: Sichere und effiziente Laufzeiten für langlebige Agenten.