La sécurité chez Perplexity

En 2026, Perplexity a fondé le Secure Intelligence Institute afin de faire progresser la sécurité, la confidentialité et la sûreté des systèmes d'intelligence de pointe. En collaboration avec des partenaires universitaires et industriels de premier plan, l'Institut mène des recherches fondamentales et appliquées en sécurité de l'IA, transforme les avancées qui en découlent en améliorations concrètes des systèmes de Perplexity et partage des connaissances et des ressources qui contribuent à renforcer l'écosystème plus vaste de l'IA.

Apprenez-en davantage sur le Secure Intelligence Institute ici.

Perplexity fait de la protection des données des clients une priorité et un impératif commercial fondamental. Conscients de la menace existentielle que représentent les atteintes à la protection des données, nous avons mis en place des mesures rigoureuses pour protéger les renseignements sensibles. Notre politique interdit strictement le stockage des données des clients sur les postes de travail, les ordinateurs portables ou les supports amovibles de l'entreprise, ce qui garantit que toutes ces données sont hébergées exclusivement dans des environnements de production sécurisés.

Pour renforcer davantage la sécurité, Perplexity utilise AWS IAM pour gérer l'accès à notre environnement de production. Nous employons l'authentification unique (SSO) assortie d'une authentification multifacteur (MFA) robuste et d'identifiants de session de courte durée. De plus, nous appliquons des contrôles d'accès juste-à-temps (JIT), qui accordent aux ingénieurs un accès temporaire aux ressources sensibles uniquement lorsque cela est nécessaire, par exemple à des fins de débogage. Afin de maintenir les normes les plus élevées de protection des données, les privilèges d'accès font l'objet d'examens approfondis au moins deux fois par année, ce qui garantit que nos mesures de sécurité demeurent à jour et efficaces.

Chez Perplexity, nous maintenons une séparation stricte entre notre infrastructure de production et les autres environnements, comme la préproduction et les tests.

Cette séparation assure l'isolement des données, optimise les performances et facilite les tests de sécurité sans mettre en péril nos services en production. Nous y parvenons grâce à des comptes AWS distincts, à des configurations réseau distinctes et à des contrôles d'accès propres à chaque environnement.

Pour une sécurité accrue, nous tirons parti des services robustes de Cloudflare. Leur réseau mondial offre une protection complète contre les attaques DDoS, tant au niveau du réseau que de la couche applicative. Nous utilisons également le pare-feu d'applications Web (WAF) de Cloudflare pour nous prémunir contre les vulnérabilités courantes, nous mettons en place une limitation du débit pour prévenir les abus et nous veillons à ce que tout le trafic soit chiffré au moyen du protocole SSL/TLS.

De plus, nous utilisons Wiz, une plateforme de sécurité infonuagique de pointe, pour surveiller et évaluer en continu la sécurité de nos environnements infonuagiques. Wiz offre une visibilité en temps réel sur les vulnérabilités potentielles, les erreurs de configuration et les risques de conformité dans tous les environnements, ce qui assure une détection et une correction proactives des menaces.

Cette approche à plusieurs niveaux, qui combine la séparation des environnements, les fonctionnalités de sécurité de Cloudflare et les capacités de surveillance avancées de Wiz, nous permet de maintenir une haute disponibilité, d'assurer l'intégrité des données et d'offrir une plateforme sécurisée à nos utilisateurs.

Chez Perplexity, nous mettons en œuvre une stratégie robuste de sécurité des terminaux pour protéger notre organisation et les données des clients. Nous utilisons la gestion des appareils mobiles (MDM) pour appliquer des politiques de sécurité des appareils sur tous les appareils appartenant à l'entreprise. Cela nous permet d'appliquer des politiques de mots de passe robustes, de chiffrer le stockage des appareils, d'activer des capacités d'effacement à distance, d'imposer des mises à jour logicielles régulières et de contrôler l'installation des applications. Nos politiques MDM garantissent que tous les appareils qui accèdent aux ressources de l'entreprise respectent nos normes de sécurité rigoureuses, ce qui réduit le risque d'atteinte à la protection des données par des terminaux compromis.

Afin de renforcer davantage notre posture de sécurité, nous avons déployé des solutions de détection et d'intervention sur les terminaux (EDR) sur toutes les machines utilisées au sein de notre organisation. Notre système EDR assure une surveillance et une analyse en temps réel de l'activité des terminaux, une détection avancée des menaces à l'aide de l'analyse comportementale et de l'apprentissage automatique, ainsi que des capacités d'intervention rapide en cas d'incident. Il permet également l'investigation informatique à distance pour enquêter sur les incidents de sécurité potentiels et les contenir.

Perplexity accorde la priorité à la détection et à l'intervention rapides face aux menaces en investissant dans la surveillance avancée, l'observabilité et les alertes dans l'ensemble de nos environnements de production. Nous tirons parti de Panther SIEM pour regrouper et analyser des sources de journaux essentielles, notamment AWS CloudTrail, les journaux d'application et bien d'autres. Ces journaux offrent une visibilité complète sur notre infrastructure, ce qui nous permet de repérer rapidement les activités suspectes et les menaces potentielles. Grâce à la création et à l'amélioration continue de centaines de détections sur mesure, nous surveillons les indicateurs de compromission (IOC), les comportements anormaux et les violations de politiques. Cette approche proactive garantit que nous pouvons détecter même les signes subtils d'activité malveillante.

Notre équipe de sécurité est disponible 24/7/365 et assure une surveillance et une intervention en cas d'incident en tout temps. L'équipe s'appuie sur des flux de travail automatisés pour trier les alertes et réagir aux incidents potentiels avec rapidité et précision. Lorsqu'une menace est détectée, nos guides d'intervention détaillés orientent le confinement, la correction et l'analyse post-incident, ce qui permet de neutraliser rapidement les menaces avec une incidence minimale.

Nous nous engageons à établir des partenariats solides avec la communauté de la recherche en sécurité. En plus de réaliser des tests d'intrusion annuels par des tiers, nous collaborons activement avec les chercheurs dans le cadre de notre programme privé de primes aux bogues (Bug Bounty) sur BugCrowd et de notre programme public de divulgation des vulnérabilités (VDP). Nous vous encourageons à consulter notre VDP pour en comprendre la portée et savoir comment signaler des vulnérabilités potentielles.

Chez Perplexity, nous évaluons les sous-traitants ultérieurs et les fournisseurs tiers à l'aide d'un cadre fondé sur les risques afin de garantir que leurs pratiques en matière de protection des renseignements personnels, de sécurité et de confidentialité correspondent à notre engagement à protéger les données des clients et à maintenir un service hautement disponible.

Les fournisseurs font l'objet d'une évaluation annuelle en fonction de facteurs tels que la sensibilité des données traitées, l'importance de notre dépendance à leurs services et leur réputation générale. Une liste à jour de nos sous-traitants ultérieurs se trouve dans notre Centre de confiance.

Perplexity utilise une méthodologie agile pour le développement logiciel et effectue des revues de code et des tests approfondis avant chaque version.

Nous adhérons aux pratiques exemplaires de l'industrie, qui comprennent des approbations obligatoires des demandes d'extraction (PR), une suite de tests d'intégration et de tests unitaires, ainsi que des déploiements d'aperçu dans des environnements hors production pour l'assurance qualité manuelle.

Les développeurs sont formés pour respecter les directives de codage sécurisé et connaissent les problèmes du OWASP Top 10. Le code sensible sur le plan de la sécurité est toujours révisé par des experts du domaine.