Sandbox sicure per agenti

Gli agenti IA svolgono un lavoro reale per nostro conto: modificare file, eseguire codice e portare a termine attività a più fasi nel corso di ore o giorni. Ciò richiede spesso l'accesso a informazioni private, il che rende il luogo in cui un agente viene eseguito più importante dell'intelligenza del modello stesso.

Le sandbox mantengono gli agenti sicuri, consentendo loro di accedere agli strumenti e ai file necessari per completare queste attività, proteggendo al contempo le informazioni sensibili.

Durante lo sviluppo della nostra piattaforma per agenti Computer, abbiamo analizzato diverse opzioni di sandbox disponibili sul mercato. Ogni opzione richiedeva di valutare dei compromessi tra funzionalità, efficienza e sicurezza. Perplexity Computer necessitava di tutti e tre, quindi abbiamo creato un tipo di sandbox completamente nuovo.

Oggi presentiamo SPACE, una piattaforma sandbox progettata per sbloccare la piena potenza di Computer, fornendo al contempo il massimo livello di sicurezza per i sistemi agentici avanzati.

Reinventare l'architettura delle sandbox

SPACE crea sandbox effimere che vivono solo per il tempo necessario all'esecuzione di codice, all'interazione con file o ad altre attività. Al termine dell'attività, la sandbox e tutto ciò che contiene vengono distrutti.

Per il lavoro a lungo termine che deve sopravvivere ai riavvii, SPACE racchiude ogni sandbox in una Sessione che può essere messa in pausa, ripresa o ramificata in più sandbox. La tecnologia di snapshot dinamici di SPACE consente al contesto di spostarsi insieme al lavoro, anche se nessuna singola sandbox lo fa.

Eliminare i precedenti compromessi

La maggior parte delle piattaforme sandbox risolve solo due variabili su tre: funzionalità, efficienza o sicurezza. Ottimizzare per una tende a penalizzare le altre. Alcune soluzioni offrono forti primitive di isolamento, ma lasciano le credenziali esposte all'interno dell'ambiente. Altre eseguono bene lavori di breve durata, ma perdono lo stato e falliscono quando una Sessione deve essere eseguita per ore.

SPACE risolve tutte e tre le esigenze separando le competenze tra servizi dedicati. Il Network Gateway, lo Space Daemon e il File Service proteggono ciascuno una parte diversa dello stack. Inoltre, forniscono le credenziali dall'esterno della sandbox solo nel momento in cui sono necessarie.

Con questa progettazione, un agente compromesso non ha alcun percorso predefinito verso le credenziali gestite dalla piattaforma. Inoltre, non ha accesso oltre l'attività assegnata, indipendentemente dalla durata della Sessione o dal backend.

Creare tre livelli di sicurezza

SPACE è composto da tre livelli chiave, ciascuno con forti misure di sicurezza integrate:

Control Plane: Primo livello dell'architettura di SPACE, il Control Plane è responsabile dell'orchestrazione del ciclo di vita della sandbox. Riceve ogni richiesta tramite un'unica API, tiene traccia dello stato della sandbox e decide in tempo reale su quale backend instradarla. Determina quando un'attività necessita di una nuova sandbox. Decide inoltre quando un'attività è completa e la relativa sandbox può essere distrutta. Poiché il Control Plane è stateless e ospitato centralmente, la stessa chiamata API funziona su qualsiasi infrastruttura esistente, inclusa una macchina locale.

Node-level Services: In SPACE, i Node-level Services rappresentano il punto in cui la postura di sicurezza di Perplexity si distingue. Con SPACE, le credenziali non passano mai nella sandbox. Vengono invece trasmesse dall'esterno della sandbox solo nel momento preciso in cui sono necessarie. Quando un agente necessita di un accesso temporaneo per connettersi a un account Google, SPACE può gestire il flusso di accesso senza esporre le credenziali all'interno della sandbox. Anche il traffico di rete in uscita è controllato a livello di nodo. Un agente compromesso non può raggiungere nulla al di fuori dell'ambito consentito.

In-sandbox: Il livello in-sandbox è l'ultima linea di difesa di SPACE. Con SPACE, ogni attività viene eseguita all'interno di una microVM Firecracker, un ambiente completamente isolato con il proprio sistema operativo. Ciò significa che nulla all'interno può influenzare l'host o qualsiasi altra sandbox in esecuzione in parallelo. Lo Space Daemon è l'unico processo che comunica con il control plane di Perplexity. Trasmette segnali operativi come i comandi di avvio, pausa e snapshot. Questo rende il canale di comunicazione verificabile e controllabile.

Offrire una serie completa di controlli

SPACE è unico tra i fornitori nell'offrire una serie completa di controlli. SPACE combina pausa e ripresa, fork della Sessione, isolamento delle credenziali per sessione, inoltro di protocollo e orchestrazione multi-backend in un'unica piattaforma.

SPACE esegue snapshot dinamici dello stato completo della Sessione, catturando la memoria live insieme ai file con una frequenza di un minuto. Può tornare indietro nel tempo di una settimana. È essenzialmente una macchina del tempo integrata: chiunque può allontanarsi a metà attività, tornare una settimana dopo e l'agente riprenderà esattamente da dove era stato messo in pausa.

SPACE tratta la sandbox come non attendibile per impostazione predefinita e la circonda con controlli di rete, controlli delle credenziali, separazione dei tenant e archiviazione crittografata. Se un livello viene compromesso, gli altri proteggeranno le informazioni personali.

Con SPACE, i clienti aziendali possono anche utilizzare le proprie chiavi di crittografia. Se un cliente revoca la propria chiave, le nuove sandbox non possono avviarsi e i dati esistenti crittografati dal cliente non possono più essere decrittografati.

Per chi lavora con dati particolarmente sensibili, SPACE è progettato per funzionare sia on-premise che completamente offline. Questo livello di controllo garantisce che i dati non debbano mai lasciare un ambiente sicuro.

Alimentare Perplexity

Gli ingegneri di Perplexity hanno portato SPACE dal concept al prodotto in 10 settimane. Utilizziamo SPACE internamente da due mesi. Nell'ultima settimana, ha supportato milioni di creazioni di sandbox e decine di milioni di riconnessioni. È attivo oggi in Computer per tutti gli utenti.

SPACE è stato creato per funzionare ovunque. In un test iniziale su CPU NVIDIA Vera, i flussi di lavoro in stile Computer venivano eseguiti circa 1,5 volte più velocemente rispetto al nostro riferimento di produzione attuale e avviavano sandbox simultanee fino a 1,9 volte più velocemente. Questo segnale iniziale dimostra che Vera offrirà un valore eccezionale per le sandbox agentiche e convalida l'agnosticismo del backend alla base di SPACE.

Investire in ambienti sicuri

Crediamo che non debba esserci alcun compromesso tra funzionalità, efficienza e sicurezza. Gli agenti dovrebbero lavorare sugli stessi dati che usiamo noi, con la stessa fiducia che riporremmo in qualsiasi collega.

SPACE è solo la prima iterazione di questo ambiente sicuro. Man mano che l'IA continua a evolversi, anche i nostri sistemi di sicurezza e infrastrutturali faranno lo stesso.

Consulta Making SPACE: Runtime sicuri ed efficienti per agenti a lunga esecuzione per ulteriori dettagli.