Beveiligde sandboxes voor agents

AI-agents verrichten daadwerkelijk werk namens ons: het bewerken van bestanden, het uitvoeren van code en het uitvoeren van taken in meerdere stappen gedurende uren of dagen. Dit vereist vaak toegang tot privégegevens, waardoor waar een agent wordt uitgevoerd belangrijker is dan hoe slim het model is.

Sandboxes houden agents veilig door ze toegang te geven tot de tools en bestanden die ze nodig hebben om deze taken te voltooien, terwijl gevoelige informatie beschermd blijft.

Tijdens het bouwen van ons agentplatform Computer hebben we gekeken naar kant-en-klare sandbox-opties. Elke optie dwong ons om afwegingen te maken tussen functionaliteit, efficiëntie en beveiliging. Perplexity Computer had alle drie nodig, dus hebben we een geheel nieuw type sandbox gebouwd.

Vandaag introduceren we RUIMTE, een sandbox-platform dat is ontworpen om de volledige kracht van Computer te benutten en tegelijkertijd het hoogste beveiligingsniveau voor geavanceerde agent-systemen te bieden.

Heruitvinden van sandbox-architectuur

RUIMTE start kortstondige sandboxes die slechts zo lang leven als nodig is voor het uitvoeren van code, interactie met bestanden of andere taken. Wanneer de taak is voltooid, wordt de sandbox, inclusief alles wat zich daarin bevindt, vernietigd.

Voor langdurig werk dat herstarts moet overleven, omhult RUIMTE elke sandbox in een sessie die kan worden gepauzeerd, hervat of vertakt in meerdere sandboxes. Dankzij de rolling snapshot-technologie van RUIMTE kan de context met het werk meereizen, ook al doet geen enkele individuele sandbox dat.

Het elimineren van eerdere afwegingen

De meeste sandbox-platforms lossen slechts twee van de drie variabelen op: functionaliteit, efficiëntie of beveiliging. Optimaliseren voor één gaat meestal ten koste van de andere. Sommige oplossingen hebben sterke isolatie-primitieven, maar laten inloggegevens blootgesteld in de omgeving. Andere voeren kortstondige taken goed uit, maar verliezen de status en falen wanneer een sessie urenlang moet draaien.

RUIMTE lost alle drie de punten op door taken te scheiden over toegewijde services. De netwerkgateway, Space Daemon en File Service beveiligen elk een ander onderdeel van de stack. Ze leveren inloggegevens bovendien alleen van buiten de sandbox op het moment dat ze nodig zijn.

Met dit ontwerp heeft een gecompromitteerde agent standaard geen pad naar door het platform beheerde inloggegevens. En het heeft geen toegang buiten de gegeven taak, ongeacht de duur van de sessie of de backend.

Het creëren van drie beveiligingslagen

RUIMTE bestaat uit drie belangrijke lagen, elk met ingebouwde sterke beveiligingsmaatregelen:

Control Plane: De eerste laag van de architectuur van RUIMTE, de Control Plane, is verantwoordelijk voor het orkestreren van de levenscyclus van de sandbox. Het ontvangt elk verzoek via één API, houdt de sandbox-status bij en beslist in realtime naar welke backend moet worden gerouteerd. Het bepaalt wanneer een taak een nieuwe sandbox nodig heeft. Het beslist ook wanneer een taak is voltooid en de bijbehorende sandbox kan worden vernietigd. Omdat de Control Plane staatloos en centraal gehost is, werkt dezelfde API-aanroep op elke bestaande infrastructuur, inclusief een lokale machine.

Node-level Services: In RUIMTE is Node-level Services waar de beveiligingshouding van Perplexity uitblinkt. Met RUIMTE komen inloggegevens nooit in de sandbox terecht. In plaats daarvan worden ze van buitenaf in de sandbox doorgegeven, precies op het moment dat ze nodig zijn. Wanneer een agent tijdelijke toegang nodig heeft om verbinding te maken met een Google-account, kan RUIMTE het aanmeldingsproces afhandelen zonder inloggegevens in de sandbox bloot te stellen. Uitgaand netwerkverkeer wordt ook op node-niveau beheerd. Een gecompromitteerde agent kan niets bereiken buiten zijn toegestane scope.

In-sandbox: De in-sandbox laag is de laatste verdedigingslinie van RUIMTE. Met RUIMTE draait elke taak in een Firecracker microVM, een volledig geïsoleerde omgeving met een eigen besturingssysteem. Dat betekent dat niets binnenin de host of enige andere sandbox die parallel draait, kan beïnvloeden. De Space Daemon is het enige proces dat communiceert met de control plane van Perplexity. Het voert operationele signalen uit zoals start-, pauze- en snapshot-opdrachten. Dit maakt het communicatiekanaal controleerbaar en auditeerbaar.

Een volledige set controles bieden

RUIMTE is uniek onder aanbieders omdat het een volledige set controles biedt. RUIMTE combineert pauzeren en hervatten, sessie-forking, isolatie van inloggegevens per sessie, protocol-forwarding en multi-backend orkestratie in één platform.

RUIMTE maakt voortdurend snapshots van de volledige sessiestatus, waarbij het live geheugen samen met bestanden zo vaak als elke minuut wordt vastgelegd. Het kan een week terug in de tijd gaan. Het is in feite een ingebouwde tijdmachine: iedereen kan midden in een taak weglopen, een week later terugkomen en de agent gaat precies verder waar hij was gepauzeerd.

RUIMTE behandelt de sandbox standaard als niet-vertrouwd en omringt deze met netwerkcontroles, controles voor inloggegevens, tenant-scheiding en versleutelde opslag. Als één laag wordt gecompromitteerd, beschermen de andere persoonlijke informatie.

Met RUIMTE kunnen zakelijke klanten ook hun eigen encryptiesleutels meenemen. Als een klant zijn sleutel intrekt, kunnen nieuwe sandboxes niet opstarten en kunnen bestaande, door de klant versleutelde gegevens niet langer worden ontsleuteld.

Voor degenen die met bijzonder gevoelige gegevens werken, is RUIMTE ontworpen om zowel on-premise als volledig offline te werken. Dit controleniveau zorgt ervoor dat gegevens nooit een beveiligde omgeving hoeven te verlaten.

Perplexity aandrijven

Perplexity-engineers brachten RUIMTE in 10 weken van concept naar product. We gebruiken RUIMTE de afgelopen twee maanden intern. In de afgelopen week heeft het miljoenen sandbox-creaties en tientallen miljoenen sandbox-herverbindingen ondersteund. Het is vandaag live beschikbaar in Computer voor alle gebruikers.

RUIMTE is gebouwd om overal te draaien. In een vroege test op de NVIDIA Vera CPU draaiden echte Computer-stijl workflows ongeveer 1,5x sneller dan onze huidige productiereferentie, en startten gelijktijdige sandboxes tot 1,9x sneller op. Dit vroege signaal toont aan dat Vera uitzonderlijke waarde zal bieden voor agent-sandboxes en valideert het backend-agnosticisme achter RUIMTE.

Investeren in veilige omgevingen

Wij geloven dat er geen afweging mag zijn tussen functionaliteit, efficiëntie en beveiliging. Agents moeten kunnen werken met dezelfde gegevens als wij, met hetzelfde vertrouwen dat we aan elke collega zouden geven.

RUIMTE is slechts de eerste iteratie van deze beveiligde omgeving. Naarmate AI blijft evolueren, zullen onze beveiligings- en infrastructuursystemen dat ook doen.

Bekijk RUIMTE maken: veilige en efficiënte runtimes voor langdurige agents voor meer details.