La sécurité chez Perplexity

En 2026, Perplexity a fondé le Secure Intelligence Institute afin de faire progresser la sécurité, la confidentialité et la sûreté des systèmes d'intelligence de pointe. En collaboration avec des partenaires universitaires et industriels de premier plan, l'Institut mène des recherches fondamentales et appliquées en sécurité de l'IA, traduit les avancées obtenues en améliorations concrètes des systèmes de Perplexity et partage des connaissances et des ressources qui contribuent à renforcer l'écosystème plus large de l'IA.

Pour en savoir plus sur le Secure Intelligence Institute, cliquez ici.

Perplexity fait de la protection des données des clients une priorité et un impératif fondamental pour l'entreprise. Conscients de la menace existentielle que représentent les violations de données, nous avons mis en place des mesures strictes pour protéger les informations sensibles. Notre politique interdit strictement le stockage des données des clients sur les postes de travail, ordinateurs portables ou supports amovibles de l'entreprise, garantissant que toutes ces données sont hébergées exclusivement dans des environnements de production sécurisés.

Pour renforcer davantage la sécurité, Perplexity utilise AWS IAM pour gérer l'accès à notre environnement de production. Nous recourons à l'authentification par authentification unique (SSO) avec une authentification multifacteur (MFA) robuste et des identifiants de session à courte durée de vie. De plus, nous appliquons des contrôles d'accès juste-à-temps (JIT), n'accordant aux ingénieurs un accès temporaire aux ressources sensibles que lorsque cela est nécessaire, par exemple à des fins de débogage. Afin de maintenir les normes les plus élevées de protection des données, les privilèges d'accès font l'objet d'examens approfondis au moins deux fois par an, garantissant que nos mesures de sécurité restent à jour et efficaces.

Chez Perplexity, nous maintenons une séparation stricte entre notre infrastructure de production et les autres environnements tels que la préproduction et les tests.

Cette séparation garantit l'isolation des données, optimise les performances et facilite les tests de sécurité sans compromettre nos services en production. Nous y parvenons grâce à des comptes AWS distincts, des configurations réseau distinctes et des contrôles d'accès propres à chaque environnement.

Pour une sécurité accrue, nous nous appuyons sur les services robustes de Cloudflare. Leur réseau mondial offre une protection DDoS complète contre les attaques visant aussi bien le réseau que la couche applicative. Nous utilisons également le pare-feu applicatif web (WAF) de Cloudflare pour nous prémunir contre les vulnérabilités courantes, mettons en place une limitation de débit pour prévenir les abus et veillons à ce que l'ensemble du trafic soit chiffré via SSL/TLS.

En outre, nous utilisons Wiz, une plateforme de sécurité cloud de pointe, pour surveiller et évaluer en continu la sécurité de nos environnements cloud. Wiz offre une visibilité en temps réel sur les vulnérabilités potentielles, les erreurs de configuration et les risques de conformité dans tous les environnements, garantissant une détection et une remédiation proactives des menaces.

Cette approche multicouche, associant la séparation des environnements, les fonctionnalités de sécurité de Cloudflare et les capacités de surveillance avancées de Wiz, nous permet de maintenir une haute disponibilité, d'assurer l'intégrité des données et de fournir une plateforme sécurisée à nos utilisateurs.

Chez Perplexity, nous mettons en œuvre une stratégie robuste de sécurité des terminaux pour protéger notre organisation et les données des clients. Nous utilisons la gestion des appareils mobiles (MDM) pour appliquer des politiques de sécurité des appareils sur l'ensemble des appareils appartenant à l'entreprise. Cela nous permet d'appliquer des politiques de mots de passe robustes, de chiffrer le stockage des appareils, d'activer des fonctionnalités d'effacement à distance, d'imposer des mises à jour logicielles régulières et de contrôler les installations d'applications. Nos politiques MDM garantissent que tous les appareils accédant aux ressources de l'entreprise respectent nos normes de sécurité strictes, réduisant ainsi le risque de violations de données dues à des terminaux compromis.

Pour renforcer davantage notre posture de sécurité, nous avons déployé des solutions de détection et de réponse au niveau des terminaux (EDR) sur toutes les machines utilisées au sein de notre organisation. Notre système EDR assure une surveillance et une analyse en temps réel de l'activité des terminaux, une détection avancée des menaces reposant sur l'analyse comportementale et l'apprentissage automatique, ainsi que des capacités de réponse rapide aux incidents. Il permet également de réaliser des analyses forensiques à distance afin d'investiguer et de contenir les incidents de sécurité potentiels.

Perplexity privilégie une détection et une réponse rapides aux menaces en investissant dans une surveillance, une observabilité et des alertes avancées dans l'ensemble de nos environnements de production. Nous exploitons Panther SIEM pour agréger et analyser des sources de journaux critiques, notamment AWS CloudTrail, les journaux applicatifs, et bien d'autres. Ces journaux offrent une visibilité complète sur notre infrastructure, ce qui nous permet d'identifier rapidement les activités suspectes et les menaces potentielles. Grâce à la création et à l'amélioration continue de centaines de détections sur mesure, nous surveillons les indicateurs de compromission (IOC), les comportements anormaux et les violations de politiques. Cette approche proactive garantit que nous pouvons détecter même les signes les plus subtils d'activité malveillante.

Notre équipe de sécurité est disponible 24 h/24, 7 j/7, 365 j/an et assure une surveillance et une réponse aux incidents en continu. Elle s'appuie sur des flux de travail automatisés pour trier les alertes et répondre aux incidents potentiels avec rapidité et précision. Lorsqu'une menace est détectée, nos playbooks détaillés guident le confinement, la remédiation et l'analyse post-incident, garantissant que les menaces sont neutralisées rapidement avec un impact minimal.

Nous nous engageons à nouer des partenariats solides avec la communauté de la recherche en sécurité. En plus de réaliser chaque année des tests d'intrusion menés par des tiers, nous collaborons activement avec les chercheurs dans le cadre de notre programme privé de Bug Bounty sur BugCrowd et de notre programme public de divulgation des vulnérabilités (VDP). Nous vous encourageons à consulter notre VDP pour en comprendre la portée et découvrir comment signaler d'éventuelles vulnérabilités.

Chez Perplexity, nous évaluons les sous-traitants ultérieurs et les fournisseurs tiers à l'aide d'un cadre fondé sur les risques afin de garantir que leurs pratiques en matière de confidentialité, de sécurité et de protection des données correspondent à notre engagement à protéger les données des clients et à maintenir un service à haute disponibilité.

Les fournisseurs sont évalués chaque année en fonction de facteurs tels que la sensibilité des données traitées, la criticité de notre dépendance à leurs services et leur réputation globale. La liste à jour de nos sous-traitants ultérieurs est disponible sur notre Trust Center.

Perplexity utilise une méthodologie agile pour le développement logiciel et effectue des revues de code et des tests approfondis avant chaque version.

Nous respectons les meilleures pratiques du secteur, qui comprennent des approbations obligatoires des PR, une suite de tests d'intégration et de tests unitaires, ainsi que des déploiements de prévisualisation dans des environnements hors production pour un contrôle qualité manuel.

Les développeurs sont formés au respect des directives de codage sécurisé et connaissent les problèmes du Top 10 de l'OWASP. Le code sensible en matière de sécurité est toujours examiné par des experts du domaine.