에이전트를 위한 보안 샌드박스

AI 에이전트는 파일 편집, 코드 실행, 수 시간 또는 수일에 걸친 다단계 작업 수행 등 우리를 대신하여 실질적인 업무를 수행합니다. 이는 종종 개인 정보에 대한 접근 권한을 필요로 하므로, 모델이 얼마나 똑똑한지보다 에이전트가 어디에서 실행되는지가 더욱 중요해집니다.

샌드박스는 에이전트가 작업을 완료하는 데 필요한 도구와 파일에 접근할 수 있도록 허용하면서도 민감한 정보를 보호하여 에이전트를 안전하게 유지합니다.

Perplexity Computer 플랫폼을 구축할 때, 우리는 기존의 샌드박스 옵션들을 검토했습니다. 모든 옵션은 기능성, 효율성, 보안성 사이의 상충 관계(tradeoff)를 고려해야 했습니다. Perplexity Computer는 이 세 가지 모두를 필요로 했기에, 우리는 완전히 새로운 유형의 샌드박스를 구축했습니다.

오늘 우리는 고급 에이전트 시스템을 위한 최고 수준의 보안을 제공함과 동시에 Computer의 잠재력을 최대한 발휘하도록 설계된 샌드박스 플랫폼인 스페이스(SPACE)를 소개합니다.

스페이스(SPACE)는 코드 실행, 파일 상호작용 또는 기타 작업에 필요한 시간 동안만 유지되는 일회성 샌드박스를 생성합니다. 작업이 완료되면 샌드박스와 그 내부의 모든 항목은 삭제됩니다.

재시작 후에도 유지되어야 하는 장기 작업을 위해 스페이스(SPACE)는 각 샌드박스를 일시 중지, 재개 또는 여러 샌드박스로 분기할 수 있는 세션으로 감쌉니다. 스페이스(SPACE)의 롤링 스냅샷 기술을 사용하면 개별 샌드박스 자체가 이동하지 않아도 컨텍스트가 작업과 함께 이동할 수 있습니다.

대부분의 샌드박스 플랫폼은 기능성, 효율성, 보안성이라는 세 가지 변수 중 두 가지만 해결합니다. 하나를 최적화하면 다른 하나가 희생되는 경향이 있습니다. 일부 솔루션은 강력한 격리 기본 요소를 가지고 있지만 환경 내에 자격 증명을 노출합니다. 다른 솔루션은 단기 작업을 잘 실행하지만, 세션이 수 시간 동안 실행되어야 할 때는 상태를 잃고 실패합니다.

스페이스(SPACE)는 전용 서비스 전반에서 책임을 분리하여 이 세 가지를 모두 해결합니다. 네트워크 게이트웨이, 스페이스 데몬 및 파일 서비스는 각각 스택의 다른 부분을 보호합니다. 또한 이들은 샌드박스 외부의 자격 증명을 필요한 순간에만 전달합니다.

이러한 설계로 인해 침해된 에이전트는 기본적으로 플랫폼이 관리하는 자격 증명에 접근할 경로가 없습니다. 또한 세션의 지속 시간이나 백엔드와 관계없이 에이전트에게 부여된 작업 범위를 넘어선 접근 권한을 갖지 못합니다.

스페이스(SPACE)는 강력한 보안 조치가 내장된 세 가지 핵심 계층으로 구성됩니다.

제어 평면(Control Plane): 스페이스(SPACE) 아키텍처의 첫 번째 계층인 제어 평면은 샌드박스의 수명 주기를 조정하는 역할을 합니다. 이는 단일 API를 통해 모든 요청을 수신하고 샌드박스 상태를 추적하며, 실시간으로 어떤 백엔드로 라우팅할지 결정합니다. 작업에 새로운 샌드박스가 필요한 시점을 결정하며, 작업이 완료되어 해당 샌드박스를 삭제할 수 있는 시점도 판단합니다. 제어 평면은 상태가 없고 중앙에서 호스팅되므로, 동일한 API 호출이 로컬 머신을 포함한 기존의 모든 인프라에서 작동합니다.

노드 수준 서비스(Node-level Services): 스페이스(SPACE)에서 노드 수준 서비스는 Perplexity의 보안 태세가 돋보이는 부분입니다. 스페이스(SPACE)를 사용하면 자격 증명이 샌드박스로 전달되지 않습니다. 대신, 샌드박스 외부에서 필요한 정확한 순간에만 전달됩니다. 에이전트가 Google 계정에 연결하기 위해 임시 접근 권한이 필요할 때, 스페이스(SPACE)는 샌드박스 내부에 자격 증명을 노출하지 않고 로그인 흐름을 처리할 수 있습니다. 아웃바운드 네트워크 트래픽 또한 노드 수준에서 제어됩니다. 침해된 에이전트는 허용된 범위 밖의 어떤 것에도 도달할 수 없습니다.

샌드박스 내부(In-sandbox): 샌드박스 내부 계층은 스페이스(SPACE)의 최후 방어선입니다. 스페이스(SPACE)를 사용하면 각 작업은 자체 운영 체제를 갖춘 완전히 격리된 환경인 Firecracker microVM 내에서 실행됩니다. 즉, 내부의 그 무엇도 호스트나 병렬로 실행되는 다른 샌드박스에 영향을 줄 수 없습니다. 스페이스 데몬은 Perplexity의 제어 평면과 통신하는 유일한 프로세스입니다. 이 프로세스는 시작, 일시 중지, 스냅샷 명령과 같은 운영 신호를 전달합니다. 이것이 바로 통신 채널을 감사 및 제어 가능하게 만드는 요소입니다.

스페이스(SPACE)는 전체 제어 기능을 제공한다는 점에서 다른 공급업체와 차별화됩니다. 스페이스(SPACE)는 일시 중지 및 재개, 세션 포킹(forking), 세션별 자격 증명 격리, 프로토콜 포워딩, 다중 백엔드 조정을 단일 플랫폼으로 통합합니다.

스페이스(SPACE)는 전체 세션 상태의 롤링 스냅샷을 촬영하여 최대 1분 단위로 실시간 메모리와 파일을 캡처합니다. 일주일 전으로 되돌릴 수도 있습니다. 이는 본질적으로 내장된 타임머신과 같습니다. 작업 도중에 자리를 떠났다가 일주일 후에 돌아와도 에이전트는 중지된 지점에서 정확히 다시 작업을 시작합니다.

스페이스(SPACE)는 기본적으로 샌드박스를 신뢰할 수 없는 것으로 간주하며 네트워크 제어, 자격 증명 제어, 테넌트 격리 및 암호화된 저장소로 샌드박스를 보호합니다. 한 계층이 침해되더라도 다른 계층이 개인 정보를 보호합니다.

스페이스(SPACE)를 사용하면 엔터프라이즈 고객은 자체 암호화 키를 가져올 수도 있습니다. 고객이 키를 취소하면 새로운 샌드박스를 부팅할 수 없으며, 기존의 고객 암호화 데이터는 더 이상 해독할 수 없습니다.

특히 민감한 데이터를 다루는 사용자를 위해 스페이스(SPACE)는 온프레미스 및 완전 오프라인 환경 모두에서 작동하도록 설계되었습니다. 이러한 수준의 제어를 통해 데이터가 안전한 환경 밖으로 나갈 필요가 없습니다.

Perplexity 엔지니어들은 10주 만에 스페이스(SPACE)를 개념 단계에서 제품 단계로 끌어올렸습니다. 우리는 지난 2개월 동안 내부적으로 스페이스(SPACE)를 사용해 왔습니다. 지난주에는 수백만 건의 샌드박스 생성과 수천만 건의 샌드박스 재연결을 지원했습니다. 현재 모든 사용자를 위한 Computer에서 라이브로 제공되고 있습니다.

스페이스(SPACE)는 어디에서나 실행되도록 구축되었습니다. NVIDIA Vera CPU에서 진행된 초기 테스트에서, 실제 Computer 스타일의 워크플로우가 현재의 프로덕션 참조 모델보다 약 1.5배 빠르게 실행되었으며, 동시 샌드박스를 최대 1.9배 빠르게 시작했습니다. 이러한 초기 신호는 Vera가 에이전트 샌드박스에 탁월한 가치를 제공할 것임을 보여주며, 스페이스(SPACE) 기반의 백엔드 비종속성을 검증합니다.

우리는 기능성, 효율성, 보안성 사이에서 상충 관계가 존재해서는 안 된다고 믿습니다. 에이전트는 우리가 신뢰하는 팀 동료와 마찬가지로 우리가 작업하는 동일한 데이터 전반에서 작업해야 합니다.

스페이스(SPACE)는 이 보안 환경의 첫 번째 반복 버전일 뿐입니다. AI가 계속 발전함에 따라 우리의 보안 및 인프라 시스템도 함께 발전할 것입니다.

자세한 내용은 스페이스 구축: 장기 실행 에이전트를 위한 보안 및 효율적 런타임을 참조하십시오.

샌드박스 아키텍처의 재창조

기존의 상충 관계 제거

3단계 보안 계층 구축

전체 제어 기능 제공

Perplexity 구동

보안 환경에 대한 투자