Entornos aislados seguros para agentes

Los agentes de IA realizan trabajo real en nuestro nombre: editar archivos, ejecutar código y llevar a cabo tareas de varios pasos durante horas o días. A menudo, esto requiere acceso a información privada, lo que hace que dónde se ejecuta un agente sea más importante que la inteligencia del modelo.

Los entornos aislados mantienen seguros a los agentes, permitiéndoles acceder a las herramientas y archivos que necesitan para completar estas tareas, al tiempo que protegen la información confidencial.

Al crear nuestra plataforma de agentes Computer, exploramos opciones de entornos aislados estándar. Cada opción requería considerar compensaciones entre funcionalidad, eficiencia y seguridad. Perplexity Computer necesitaba las tres, por lo que construimos un tipo completamente nuevo de entorno aislado.

Hoy presentamos SPACE, una plataforma de entorno aislado diseñada para liberar todo el potencial de Computer y ofrecer el más alto nivel de seguridad para sistemas de agentes avanzados.

Reinventar la arquitectura de los entornos aislados

SPACE crea entornos aislados efímeros que solo viven el tiempo necesario para ejecutar código, interactuar con archivos u otras tareas. Cuando la tarea termina, el entorno aislado y todo su contenido se destruyen.

Para trabajos de larga duración que deben sobrevivir a reinicios, SPACE envuelve cada entorno aislado en una sesión que se puede pausar, reanudar o ramificar en múltiples entornos aislados. La tecnología de instantáneas deslizantes de SPACE permite que el contexto viaje con el trabajo, aunque ningún entorno aislado individual lo haga.

Eliminación de las compensaciones anteriores

La mayoría de las plataformas de entornos aislados solo resuelven dos de tres variables: funcionalidad, eficiencia o seguridad. Optimizar para una suele ser a expensas de otra. Algunas soluciones tienen sólidas primitivas de aislamiento, pero dejan las credenciales expuestas dentro del entorno. Otras ejecutan trabajos de corta duración de manera óptima, pero pierden el estado y fallan cuando una sesión necesita ejecutarse durante horas.

SPACE resuelve las tres variables al separar las preocupaciones en servicios dedicados. Network Gateway, Space Daemon y File Service protegen cada uno una parte diferente de la pila. Además, entregan credenciales desde fuera del entorno aislado únicamente en el momento en que se necesitan.

Con este diseño, un agente comprometido no tiene ninguna vía de acceso a las credenciales gestionadas por la plataforma de forma predeterminada. Tampoco tiene acceso más allá de la tarea que se le asignó, independientemente de la duración de la sesión o del motor de ejecución.

Creación de tres capas de seguridad

SPACE se compone de tres capas clave, cada una con estrictas medidas de seguridad integradas:

Control Plane: La primera capa de la arquitectura de SPACE, el Control Plane, se encarga de orquestar el ciclo de vida del entorno aislado. Recibe cada solicitud a través de una única API, rastrea el estado del entorno aislado y decide en tiempo real a qué motor de ejecución enrutar. Determina cuándo una tarea necesita un nuevo entorno aislado y cuándo una tarea ha finalizado para destruir su entorno aislado correspondiente. Como el Control Plane carece de estado y se aloja de forma centralizada, la misma llamada a la API funciona en cualquier infraestructura existente, incluida una máquina local.

Node-level Services: En SPACE, los servicios a nivel de nodo son donde destaca la postura de seguridad de Perplexity. Con SPACE, las credenciales nunca pasan al entorno aislado. En su lugar, se introducen desde el exterior del entorno aislado solo en el momento preciso en que se necesitan. Cuando un agente necesita acceso temporal para conectarse a una cuenta de Google, SPACE puede gestionar el flujo de inicio de sesión sin exponer las credenciales dentro del entorno aislado. El tráfico de red saliente también se controla a nivel de nodo. Un agente comprometido no puede alcanzar nada fuera de su ámbito permitido.

In-sandbox: La capa interna del entorno aislado es la última línea de defensa de SPACE. Con SPACE, cada tarea se ejecuta dentro de una microVM de Firecracker, un entorno totalmente aislado con su propio sistema operativo. Esto significa que nada en su interior puede afectar al host ni a ningún otro entorno aislado que se ejecute en paralelo. Space Daemon es el único proceso que se comunica con el plano de control de Perplexity. Transporta señales operativas como comandos de inicio, pausa y creación de instantáneas. Esto es lo que hace que el canal de comunicación sea verificable y controlable.

Ofrecimiento de un conjunto completo de controles

SPACE es única entre los proveedores por ofrecer un conjunto completo de controles. SPACE combina la pausa y la reanudación, la bifurcación de sesiones, el aislamiento de credenciales por sesión, el reenvío de protocolos y la orquestación de múltiples motores en una sola plataforma.

SPACE toma instantáneas deslizantes del estado completo de la sesión, capturando la memoria en vivo junto con los archivos con una frecuencia de hasta un minuto. Puede retroceder en el tiempo una semana. Es esencialmente una máquina del tiempo integrada: cualquiera puede alejarse a mitad de una tarea, regresar una semana después y el agente retomará exactamente donde se pausó.

SPACE trata el entorno aislado como no confiable de forma predeterminada y lo rodea con controles de red, controles de credenciales, separación de inquilinos y almacenamiento cifrado. Si una capa se ve comprometida, las demás protegerán la información personal.

Con SPACE, los clientes empresariales también pueden utilizar sus propias claves de cifrado. Si un cliente revoca su clave, los nuevos entornos aislados no podrán iniciarse y los datos cifrados existentes del cliente ya no se podrán descifrar.

Para aquellos que trabajan con datos especialmente confidenciales, SPACE está diseñada para funcionar tanto en instalaciones locales (on-prem) como de forma totalmente desconectada. Este nivel de control garantiza que los datos nunca tengan que abandonar un entorno seguro.

Potenciación de Perplexity

Los ingenieros de Perplexity llevaron SPACE del concepto al producto en 10 semanas. Llevamos usando SPACE internamente durante los últimos dos meses. En la última semana, ha respaldado millones de creaciones de entornos aislados y decenas de millones de reconexiones a estos. Ya está disponible en vivo en Computer para todos los usuarios.

SPACE se creó para ejecutarse en cualquier lugar. En una prueba inicial en una CPU NVIDIA Vera, los flujos de trabajo reales al estilo de Computer se ejecutaron aproximadamente 1,5 veces más rápido que nuestra referencia de producción actual y comenzaron entornos aislados simultáneos hasta 1,9 veces más rápido. Esta señal temprana demuestra que Vera ofrecerá un valor excepcional para los entornos aislados de agentes y valida la agilidad de backend detrás de SPACE.

Inversión en entornos seguros

Creemos que no debe haber concesiones entre la funcionalidad, la eficiencia y la seguridad. Los agentes deben trabajar con los mismos datos que nosotros, con la misma confianza que depositaríamos en cualquier compañero de equipo.

SPACE es solo la primera iteración de este entorno seguro. A medida que la IA siga evolucionando, nuestros sistemas de seguridad e infraestructura también lo harán.

Consulte Making SPACE: Secure and Efficient Runtimes for Long-Running Agents para obtener más detalles.