Entornos aislados seguros para agentes

Los agentes de IA realizan trabajo real en nuestro nombre: editar archivos, ejecutar código y llevar a cabo tareas de varios pasos durante horas o días. Esto a menudo requiere acceso a información privada, lo que hace que dónde se ejecuta un agente sea más importante que cuán inteligente es el modelo.

Los entornos aislados mantienen a los agentes seguros, permitiéndoles acceder a las herramientas y archivos que necesitan para completar estas tareas, mientras mantienen protegida la información confidencial.

Al construir nuestra plataforma de agentes Computer, exploramos opciones de entornos aislados comerciales. Cada opción nos obligó a considerar compensaciones entre funcionalidad, eficiencia y seguridad. Perplexity Computer necesitaba las tres, así que construimos un tipo de entorno aislado completamente nuevo.

Hoy presentamos SPACE, una plataforma de entorno aislado diseñada para liberar todo el potencial de Computer mientras proporciona el nivel más alto de seguridad para sistemas agentes avanzados.

Reinventar la arquitectura de entornos aislados

SPACE crea entornos aislados efímeros que solo viven mientras son necesarios para ejecutar código, interactuar con archivos u otras tareas. Cuando la tarea finaliza, el entorno aislado y todo lo que contiene se destruye.

Para trabajos de largo plazo que necesitan sobrevivir a reinicios, SPACE envuelve cada entorno aislado en una Sesión que puede pausarse, reanudarse o ramificarse en múltiples entornos aislados. La tecnología de instantáneas continuas de SPACE permite que el contexto viaje con el trabajo, aunque ningún entorno aislado individual lo haga.

Eliminar compensaciones previas

La mayoría de las plataformas de entorno aislado solo resuelven dos de tres variables: funcionalidad, eficiencia o seguridad. Optimizar para una tiende a hacerse a expensas de otra. Algunas soluciones tienen fuertes primitivas de aislamiento pero dejan las credenciales expuestas dentro del entorno. Otras ejecutan bien trabajos de corta duración, pero pierden el estado y fallan cuando una Sesión necesita ejecutarse durante horas.

SPACE resuelve las tres separando preocupaciones en servicios dedicados. Network Gateway, Space Daemon y File Service aseguran cada uno una parte diferente de la pila. También entregan credenciales desde fuera del entorno aislado solo en el momento en que se necesitan.

Con este diseño, un agente comprometido no tiene acceso a las credenciales gestionadas por la plataforma de forma predeterminada. Y no tiene acceso más allá de la tarea que se le asignó, independientemente de la duración de la Sesión o del backend.

Crear tres capas de seguridad

SPACE se compone de tres capas clave, cada una con sólidas medidas de seguridad integradas:

Plano de control: La primera capa de la arquitectura de SPACE, el plano de control, es responsable de orquestar el ciclo de vida del entorno aislado. Recibe cada solicitud a través de una única API, rastrea el estado del entorno aislado y decide en tiempo real a qué backend enrutar. Determina cuándo una tarea necesita un nuevo entorno aislado. También decide cuándo una tarea está completa y su entorno aislado correspondiente puede ser destruido. Debido a que el plano de control es apátrida y está alojado centralmente, la misma llamada a la API funciona en cualquier infraestructura existente, incluida una máquina local.

Servicios a nivel de nodo: En SPACE, los Servicios a nivel de nodo son donde destaca la postura de seguridad de Perplexity. Con SPACE, las credenciales nunca pasan al entorno aislado. En cambio, se pasan desde fuera del entorno aislado solo en el momento preciso en que se necesitan. Cuando un agente necesita acceso temporal para conectarse a una cuenta de Google, SPACE puede manejar el flujo de inicio de sesión sin exponer las credenciales dentro del entorno aislado. El tráfico de red saliente también se controla a nivel de nodo. Un agente comprometido no puede alcanzar nada fuera de su alcance permitido.

Dentro del entorno aislado: La capa interna del entorno aislado es la última línea de defensa de SPACE. Con SPACE, cada tarea se ejecuta dentro de un microVM Firecracker, un entorno totalmente aislado con su propio sistema operativo. Eso significa que nada dentro puede afectar al host o a cualquier otro entorno aislado que se ejecute en paralelo. El Space Daemon es el único proceso que se comunica con el plano de control de Perplexity. Lleva señales operativas como comandos de inicio, pausa y creación de instantáneas. Esto es lo que hace que el canal de comunicación sea auditable y controlable.

Ofrecer un conjunto completo de controles

SPACE es único entre los proveedores al ofrecer un conjunto completo de controles. SPACE combina pausa y reanudación, bifurcación de Sesión, aislamiento de credenciales por Sesión, reenvío de protocolos y orquestación multi-backend en una única plataforma.

SPACE toma instantáneas continuas del estado completo de la Sesión, capturando la memoria activa junto con los archivos con una frecuencia de hasta un minuto. Puede retroceder una semana en el tiempo. Es esencialmente una máquina del tiempo integrada: cualquiera puede alejarse a mitad de la tarea, volver una semana después, y el agente retoma exactamente donde se pausó.

SPACE trata al entorno aislado como no confiable de forma predeterminada y lo rodea con controles de red, controles de credenciales, separación de inquilinos y almacenamiento cifrado. Si una capa se ve comprometida, las otras protegerán la información personal.

Con SPACE, los clientes empresariales también pueden traer sus propias claves de cifrado. Si un cliente revoca su clave, los nuevos entornos aislados no pueden arrancar y los datos ya cifrados por el cliente ya no pueden descifrarse.

Para aquellos que trabajan con datos particularmente sensibles, SPACE está diseñado para funcionar tanto de forma local como totalmente desconectado. Este nivel de control garantiza que los datos nunca tengan que abandonar un entorno seguro.

Impulsando a Perplexity

Los ingenieros de Perplexity llevaron a SPACE de concepto a producto en 10 semanas. Hemos estado usando SPACE internamente durante los últimos dos meses. Durante la última semana, ha admitido millones de creaciones de entornos aislados y decenas de millones de reconexiones de entornos aislados. Está en vivo en Computer para todos los usuarios hoy.

SPACE fue construido para ejecutarse en cualquier lugar. En una prueba inicial en NVIDIA Vera CPU, los flujos de trabajo de estilo Computer reales se ejecutaron aproximadamente 1.5 veces más rápido que nuestra referencia de producción actual, e iniciaron entornos aislados concurrentes hasta 1.9 veces más rápido. Esta señal temprana demuestra que Vera ofrecerá un valor excepcional para entornos aislados de agentes y valida el agnosticismo de backend detrás de SPACE.

Invertir en entornos seguros

Creemos que no debería haber una compensación entre funcionalidad, eficiencia y seguridad. Los agentes deberían trabajar en los mismos datos que nosotros, con la misma confianza que depositaríamos en cualquier compañero de equipo.

SPACE es solo la primera iteración de este entorno seguro. A medida que la IA continúa evolucionando, nuestros sistemas de seguridad e infraestructura también lo harán.

Vea Creando SPACE: Entornos de ejecución seguros y eficientes para agentes de larga duración para obtener más detalles.