Sigurni sandboxovi za agente

AI agenti obavljaju stvaran posao u naše ime: uređuju datoteke, pokreću kôd i izvršavaju zadatke u više koraka koji traju satima ili danima. To često zahtijeva pristup privatnim informacijama, zbog čega gdje agent radi postaje važnije od toga koliko je model pametan.

Sandboxi održavaju agente sigurnima, omogućujući im pristup alatima i datotekama koje su im potrebne za dovršetak tih zadataka, istovremeno štiteći osjetljive informacije.

Prilikom izrade naše platforme za agente Computer, istražili smo gotove opcije sandboxa. Svaka opcija zahtijevala je od nas razmatranje kompromisa između funkcionalnosti, učinkovitosti i sigurnosti. Perplexity Computeru bila su potrebna sva tri, stoga smo izgradili potpuno novu vrstu sandboxa.

Danas predstavljamo SPACE, platformu sandboxa dizajniranu za otključavanje punog potencijala Computera uz istovremeno pružanje najviše razine sigurnosti za napredne sustave agenata.

Zamišljanje arhitekture sandboxa iznova

SPACE pokreće efemerne sandboxe koji žive samo onoliko dugo koliko su potrebni za pokretanje kôda, interakciju s datotekama ili druge zadatke. Kada zadatak završi, sandbox i sve unutar njega uništavaju se.

Za dugotrajne poslove koji moraju preživjeti ponovna pokretanja, SPACE omata svaki sandbox u sesiju koja se može pauzirati, nastaviti ili razgranati u više sandboxova. Tehnologija tekućih snimaka sustava SPACE omogućuje kontekstu da putuje zajedno s poslom, iako niti jedan pojedinačni sandbox ne putuje.

Uklanjanje dosadašnjih kompromisa

Većina platformi sandboxa rješava samo dvije od tri varijable: funkcionalnost, učinkovitost ili sigurnost. Optimiziranje jedne obično dolazi nauštrb druge. Neka rješenja imaju snažne primitive izolacije, ali ostavljaju vjerodajnice izloženima unutar okruženja. Druga dobro izvršavaju kratkotrajne poslove, ali gube stanje i ne uspijevaju kada sesija mora trajati satima.

SPACE rješava sva tri problema odvajanjem odgovornosti na namjenske usluge. Mrežni pristupnik (Network Gateway), Space Daemon i Usluga datoteka (File Service) osiguravaju svaki različiti dio stoga. Također isporučuju vjerodajnice izvan sandboxa samo u trenutku kada su potrebne.

S ovim dizajnom, kompromitirani agent prema zadanim postavkama nema put do vjerodajnica kojima upravlja platforma. I nema pristup izvan zadatka koji mu je dodijeljen, bez obzira na trajanje sesije ili pozadinsku infrastrukturu.

Stvaranje tri sloja sigurnosti

SPACE se sastoji od tri ključna sloja, od kojih svaki ima ugrađene snažne sigurnosne mjere:

Upravljačka ravnina (Control Plane): Prvi sloj arhitekture sustava SPACE, Upravljačka ravnina je odgovorna za orkestraciju životnog ciklusa sandboxa. Ona prima svaki zahtjev kroz jedinstveni API, prati stanje sandboxa i u stvarnom vremenu odlučuje na koju pozadinsku infrastrukturu usmjeriti promet. Određuje kada zadatak treba novi sandbox. Također odlučuje kada je zadatak završen i kada se njegov odgovarajući sandbox može uništiti. Budući da je Upravljačka ravnina bez stanja i centralno hostirana, isti API poziv radi na bilo kojoj postojećoj infrastrukturi, uključujući lokalno računalo.

Usluge na razini čvora: U sustavu SPACE, Usluge na razini čvora predstavljaju dio gdje se Perplexityjev sigurnosni stav ističe. Uz SPACE, vjerodajnice nikada ne ulaze u sandbox. Umjesto toga, prosljeđuju se izvan sandboxa samo u točnom trenutku kada su potrebne. Kada agent treba privremeni pristup za povezivanje s Google računom, SPACE može upravljati tijekom prijave bez izlaganja vjerodajnica unutar sandboxa. Odlazni mrežni promet također se kontrolira na razini čvora. Kompromitirani agent ne može dosegnuti ništa izvan svog dopuštenog opsega.

Unutar sandboxa: Sloj unutar sandboxa posljednja je linija obrane sustava SPACE. Uz SPACE, svaki zadatak se izvodi unutar Firecracker mikroVM-a, potpuno izoliranog okruženja s vlastitim operativnim sustavom. To znači da ništa unutar njega ne može utjecati na domaćina ili bilo koji drugi sandbox koji se izvodi paralelno. Space Daemon je jedini proces koji komunicira s Perplexityjevom upravljačkom ravninom. On prenosi operativne signale poput naredbi za pokretanje, pauziranje i snimanje stanja. To je ono što komunikacijski kanal čini revidirabilnim i podložnim kontroli.

Pružanje potpunog skupa kontrola

SPACE je jedinstven među pružateljima usluga po tome što nudi potpun skup kontrola. SPACE u jednoj platformi kombinira pauziranje i nastavak, grananje sesije, izolaciju vjerodajnica po sesiji, prosljeđivanje protokola i višestruku pozadinsku orkestraciju.

SPACE snima tekuće snimke cjelokupnog stanja sesije, hvatajući memoriju uživo zajedno s datotekama čak i svake minute. Može se vratiti u prošlost za tjedan dana. To je u biti ugrađeni vremeplov: svatko može otići usred zadatka, vratiti se tjedan dana kasnije, a agent nastavlja točno tamo gdje je pauziran.

SPACE prema zadanim postavkama tretira sandbox kao nepouzdan i okružuje ga mrežnim kontrolama, kontrolama vjerodajnica, odvajanjem zakupaca i šifriranim pohranjivanjem. Ako je jedan sloj kompromitiran, ostali će zaštititi osobne podatke.

Uz SPACE, poslovni korisnici također mogu donijeti vlastite ključeve za šifriranje. Ako korisnik opozove svoj ključ, novi se sandboxovi ne mogu pokrenuti, a postojeći podaci šifrirani od strane korisnika više se ne mogu dešifrirati.

Za one koji rade s posebno osjetljivim podacima, SPACE je dizajniran za rad i u lokalnom okruženju (on-prem) i potpuno izvan mreže. Ova razina kontrole osigurava da podaci nikada ne moraju napustiti sigurno okruženje.

Pokretanje Perplexityja

Perplexityjevi inženjeri pretvorili su SPACE iz koncepta u proizvod u 10 tjedana. SPACE koristimo interno već posljednja dva mjeseca. Tijekom prošlog tjedna podržao je milijune stvaranja sandboxova i desetke milijuna ponovnih povezivanja sandboxa. Danas je aktivan u Computeru za sve korisnike.

SPACE je napravljen za rad bilo gdje. U ranom testu na NVIDIA Vera CPU-u, stvarni tijekovi rada u stilu Computera izvodili su se otprilike 1,5 puta brže od naše trenutačne produkcijske reference i pokretali istovremene sandboxove do 1,9 puta brže. Ovaj rani signal pokazuje da će Vera pružiti iznimnu vrijednost za sandboxove agenata i potvrđuje pozadinsku agnostičnost sustava SPACE.

Ulaganje u sigurna okruženja

Vjerujemo da ne bi trebalo biti kompromisa između funkcionalnosti, učinkovitosti i sigurnosti. Agenti bi trebali raditi s istim podacima kao i mi, uz isto povjerenje koje bismo pružili bilo kojem suigraču.

SPACE je tek prva iteracija ovog sigurnog okruženja. Kako se umjetna inteligencija bude nastavila razvijati, tako će se razvijati i naši sigurnosni i infrastrukturni sustavi.

Pogledajte Making SPACE: Secure and Efficient Runtimes for Long-Running Agents za više detalja.