Biztonságos sandboxok ügynökök számára

Az AI ügynökök valódi munkát végeznek a nevünkben: fájlokat szerkesztenek, kódot futtatnak, és többlépéses feladatokat hajtanak végre órákon vagy napokon keresztül. Ez gyakran hozzáférést igényel bizalmas információkhoz, ami miatt az, hogy hol fut egy ügynök, fontosabbá válik, mint hogy milyen okos a modell.

A sandboxok biztonságban tartják az ügynököket, hozzáférést biztosítva számukra a feladatok elvégzéséhez szükséges eszközökhöz és fájlokhoz, miközben védenek az érzékeny információkat.

A Computer nevű ügynökplatformunk építése során kész sandbox opciókat is megvizsgáltunk. Minden opció megkövetelte, hogy mérlegeljük a funkcionalitás, a hatékonyság és a biztonság közötti kompromisszumokat. A Perplexity Computer mindháromra igényt tartott, ezért egy teljesen új típusú sandboxot hoztunk létre.

Ma bemutatjuk a SPACE-t, egy olyan sandbox platformot, amelyet úgy terveztek, hogy felszabadítsa a Computer teljes erejét, miközben a legmagasabb szintű biztonságot nyújtja a fejlett ügynökalapú rendszerek számára.

A sandbox architektúra újragondolása

A SPACE efemer sandboxokat indít el, amelyek csak addig élnek, amíg a kód futtatásához, a fájlokkal való interakcióhoz vagy egyéb feladatokhoz szükség van rájuk. Amikor a feladat befejeződik, a sandbox és minden, ami benne van, megsemmisül.

Az újraindításokat igénylő, hosszú távú munkákhoz a SPACE minden sandboxot egy olyan munkamenetbe csomagol, amely szüneteltethető, folytatható vagy több sandboxra ágaztatható. A SPACE gördülő pillanatkép-technológiája lehetővé teszi, hogy a kontextus a munkával együtt utazzon, még akkor is, ha egyetlen sandbox sem teszi ezt.

A korábbi kompromisszumok megszüntetése

A legtöbb sandbox platform a három változóból csak kettőt old meg: a funkcionalitást, a hatékonyságot vagy a biztonságot. Az egyikre való optimalizálás rendszerint egy másik kárára megy. Egyes megoldások erős izolációs primitívekkel rendelkeznek, de a hitelesítő adatokat kitett helyen hagyják a környezeten belül. Mások jól hajtanak végre rövid életű feladatokat, de elveszítik az állapotot, és meghibásodnak, ha egy munkamenetnek órákon át kell futnia.

A SPACE mindhármat megoldja azáltal, hogy elválasztja a feladatokat a dedikált szolgáltatások között. A Network Gateway, a Space Daemon és a File Service a verem egy-egy különböző részét biztosítja. Ezenkívül a sandboxon kívülről csak pontosan akkor továbbítják a hitelesítő adatokat, amikor arra szükség van.

Ennek a kialakításnak köszönhetően egy kompromittálódott ügynök alapértelmezés szerint nem fér hozzá a platform által felügyelt hitelesítő adatokhoz. Emellett a munkamenet időtartamától vagy a háttérrendszertől függetlenül nincs hozzáférése a számára megadott feladaton túl.

A biztonság három rétegének létrehozása

A SPACE három kulcsfontosságú rétegből áll, amelyek mindegyike beépített erős biztonsági intézkedésekkel rendelkezik:

Control Plane: A SPACE architektúrájának első rétege, a Control Plane felelős a sandbox életciklusának vezényléséért. Minden kérést egyetlen API-n keresztül fogad, nyomon követi a sandbox állapotát, és valós időben eldönti, hogy melyik háttérrendszerhez irányítsa át. Meghatározza, hogy egy feladathoz mikor van szükség új sandboxra. Azt is eldönti, hogy egy feladat elkészült-e, és a hozzá tartozó sandbox megsemmisíthető-e. Mivel a Control Plane állapotmentes és központilag üzemeltetett, ugyanez az API-hívás bármilyen meglévő infrastruktúrán működik, beleértve a helyi gépet is.

Node-szintű szolgáltatások: A SPACE-ben a node-szintű szolgáltatásoknál tűnik ki a Perplexity biztonsági álláspontja. A SPACE-szel a hitelesítő adatok soha nem jutnak be a sandboxba. Ehelyett a sandboxon kívülről, pontosan akkor kerülnek átadásra, amikor a legnagyobb szükség van rájuk. Ha egy ügynöknek ideiglenes hozzáférésre van szüksége a Google-fiókhoz való csatlakozáshoz, a SPACE anélkül tudja kezelni a bejelentkezési folyamatot, hogy a hitelesítő adatokat felfedné a sandboxon belül. A kimenő hálózati forgalom szintén a node szintjén van szabályozva. A kompromittálódott ügynök semmit sem érhet el az engedélyezett körén kívül.

Sandboxon belüli: A sandboxon belüli réteg a SPACE utolsó védvonala. A SPACE-szel minden feladat egy Firecracker microVM-en belül fut, ami egy teljesen izolált környezet a saját operációs rendszerével. Ez azt jelenti, hogy a benne lévő dolgok semmilyen hatással nincsenek a gazdagépre vagy a párhuzamosan futó egyéb sandboxokra. A Space Daemon az egyetlen folyamat, amely kommunikál a Perplexity vezérlési síkjával. Olyan múveleti jeleket továbbít, mint az indítás, szüneteltetés és pillanatkép-parancsok. Ez teszi a kommunikációs csatornát naplózhatóvá és ellenőrizhetővé.

Vezérlők teljes skálájának kínálása

A SPACE egyedülálló a szolgáltatók között azáltal, hogy a vezérlők teljes skáláját kínálja. A SPACE egyetlen platformban egyesíti a szüneteltetést és folytatást, a munkamenetek elágaztatását, a munkamenetenkénti hitelesítő adatok izolálását, a protokoll-továbbítást és a többszörös háttérrendszer-vezénylést.

A SPACE gördülő pillanatképeket készít a teljes munkamenet-állapotról, a fájlok mellett az élő memóriát is rögzítve akár percenkénti gyakorisággal. Egy hetet is visszafelé tud menni az időben. Ez lényegében egy beépített időgép: Bárki félbehagyhatja a feladatot, egy hét múlva visszatérhet, és az ügynök pontosan ott folytatja, ahol szüneteltette.

A SPACE alapértelmezés szerint nem megbízhatónak tekinti a sandboxot, és hálózati vezérlőkkel, hitelesítőadat-vezérlőkkel, bérlői szétválasztással és titkosított tárolással veszi körül. Ha az egyik réteg kompromittálódik, a többi védi a személyes adatokat.

A SPACE-szel a vállalati ügyfelek saját titkosítási kulcsaikat is magukkal hozhatják. Ha egy ügyfél visszavonja a kulcsát, az új sandboxok nem tudnak elindulni, és a meglévő, ügyfél által titkosított adatok többé nem fejthetők vissza.

Azok számára, akik különösen érzékeny adatokkal dolgoznak, a SPACE úgy van kialakítva, hogy mind helyi (on-prem), mind teljesen offline módon működjön. Ez a vezérlési szint biztosítja, hogy az adatoknak soha ne kelljen elhagyniuk a biztonságos környezetet.

A Perplexity működtetése

A Perplexity mérnökei 10 hét alatt hozták létre a SPACE-t a koncepciótól a termékig. Az elmúlt két hónapban belsőleg használtuk a SPACE-t. Az elmúlt héten több millió sandbox-létrehozást és tízmilliókat meghaladó sandbox-újracsatlakozást támogatott. Ma már minden felhasználó számára élesben fut a Computerben.

A SPACE-t úgy építették meg, hogy bárhol futtatható legyen. Az NVIDIA Vera CPU-n végzett korai teszt során a valós Computer-stílusú munkafolyamatok nagyjából 1,5-szer gyorsabban futottak, mint a jelenlegi éles referenciánk, és a párhuzamos sandboxok indítása akár 1,9-szer gyorsabb volt. Ez a korai jelzés azt mutatja, hogy a Vera kivételes értéket fog nyújtani az ügynökalapú sandboxok számára, és igazolja a SPACE mögött álló háttérrendszer-függetlenséget.

Befektetés a biztonságos környezetekbe

Hisszük, hogy nem szabad kompromisszumot kötni a funkcionalitás, a hatékonyság és a biztonság között. Az ügynököknek ugyanazon az adatokon kellene dolgozniuk, mint nekünk, olyan bizalommal, amilyet bármilyen csapattársnak megadnánk.

A SPACE csupán ezen biztonságos környezet első iterációja. Ahogy az AI folyamatosan fejlődik, úgy fognak fejlődni a biztonsági és infrastrukturális rendszereink is.

További részletekért tekintse meg a Making SPACE: Secure and Efficient Runtimes for Long-Running Agents című dokumentumot.