Bezpieczne piaskownice dla agentów

Agenci AI wykonują w naszym imieniu rzeczywistą pracę: edytują pliki, uruchamiają kod i realizują wieloetapowe zadania trwające godzinami lub dniami. Często wymaga to dostępu do prywatnych informacji, co sprawia, że miejsce, w którym działa agent, ma większe znaczenie niż stopień zaawansowania modelu.

Piaskownice zapewniają bezpieczeństwo agentom, umożliwiając im dostęp do narzędzi i plików niezbędnych do wykonania tych zadań, przy jednoczesnej ochronie poufnych informacji.

Podczas tworzenia naszej platformy dla agentów, Computer, analizowaliśmy gotowe rozwiązania typu piaskownica. Każda z opcji wymagała rozważenia kompromisów między funkcjonalnością, wydajnością a bezpieczeństwem. Perplexity Computer wymagało połączenia wszystkich trzech, dlatego stworzyliśmy zupełnie nowy typ piaskownicy.

Dziś wprowadzamy SPACE – platformę typu piaskownica zaprojektowaną tak, aby w pełni wykorzystać potencjał Computer, zapewniając jednocześnie najwyższy poziom bezpieczeństwa dla zaawansowanych systemów agentowych.

Reinventing sandbox architecture – przemyślenie architektury piaskownicy na nowo

SPACE uruchamia efemeryczne piaskownice, które istnieją tylko tak długo, jak długo są potrzebne do wykonania kodu, interakcji z plikami lub innych zadań. Po zakończeniu zadania piaskownica i wszystko, co się w niej znajduje, zostaje zniszczone.

W przypadku długoterminowych prac, które muszą przetrwać restarty, SPACE zamyka każdą piaskownicę w sesji, którą można wstrzymać, wznowić lub rozgałęzić na wiele piaskownic. Technologia kroczących migawek (rolling snapshots) SPACE pozwala na przenoszenie kontekstu wraz z pracą, nawet jeśli żadna pojedyncza piaskownica tego nie robi.

Eliminacja dotychczasowych kompromisów

Większość platform typu piaskownica rozwiązuje tylko dwa z trzech problemów: funkcjonalność, wydajność lub bezpieczeństwo. Optymalizacja jednego często odbywa się kosztem innego. Niektóre rozwiązania mają silne mechanizmy izolacji, ale pozostawiają poświadczenia narażone na ryzyko wewnątrz środowiska. Inne dobrze wykonują krótkotrwałe zadania, ale tracą stan i zawodzą, gdy sesja musi trwać godzinami.

SPACE rozwiązuje wszystkie trzy problemy poprzez rozdzielenie kwestii między dedykowane usługi. Network Gateway, Space Daemon oraz File Service zabezpieczają różne części stosu. Dostarczają one również poświadczenia spoza piaskownicy tylko w momencie, gdy są one potrzebne.

Dzięki takiemu projektowi skompromitowany agent domyślnie nie ma ścieżki dostępu do poświadczeń zarządzanych przez platformę. Nie ma również dostępu wykraczającego poza zlecone zadanie, niezależnie od czasu trwania sesji czy architektury backendowej.

Tworzenie trzech warstw bezpieczeństwa

SPACE składa się z trzech kluczowych warstw, z których każda posiada wbudowane silne środki bezpieczeństwa:

Płaszczyzna sterowania (Control Plane): Pierwsza warstwa architektury SPACE odpowiada za orkiestrację cyklu życia piaskownicy. Odbiera każde żądanie za pośrednictwem jednego API, śledzi stan piaskownicy i w czasie rzeczywistym decyduje, do którego backendu skierować ruch. Określa, kiedy zadanie wymaga nowej piaskownicy. Decyduje również o tym, kiedy zadanie jest zakończone i odpowiadająca mu piaskownica może zostać zniszczona. Ponieważ płaszczyzna sterowania jest bezstanowa i centralnie hostowana, to samo wywołanie API działa na każdej istniejącej infrastrukturze, w tym na maszynie lokalnej.

Usługi na poziomie węzła (Node-level Services): W SPACE to tutaj postawa bezpieczeństwa Perplexity wyróżnia się najbardziej. Dzięki SPACE poświadczenia nigdy nie trafiają do piaskownicy. Zamiast tego są przekazywane z zewnątrz tylko w precyzyjnym momencie, gdy są potrzebne. Gdy agent potrzebuje tymczasowego dostępu do konta Google, SPACE może obsłużyć proces logowania bez ujawniania poświadczeń wewnątrz piaskownicy. Ruch sieciowy wychodzący jest również kontrolowany na poziomie węzła. Skompromitowany agent nie może dotrzeć do niczego poza dozwolonym zakresem.

Wewnątrz piaskownicy (In-sandbox): Warstwa wewnątrz piaskownicy to ostatnia linia obrony SPACE. Dzięki SPACE każde zadanie działa wewnątrz mikromaszyny wirtualnej Firecracker, w pełni odizolowanego środowiska z własnym systemem operacyjnym. Oznacza to, że nic wewnątrz nie może wpłynąć na hosta ani na żadną inną piaskownicę działającą równolegle. Space Daemon to jedyny proces komunikujący się z płaszczyzną sterowania Perplexity. Przenosi on sygnały operacyjne, takie jak polecenia startu, pauzy i wykonywania migawek. To sprawia, że kanał komunikacji jest audytowalny i kontrolowalny.

Oferowanie pełnego zestawu kontroli

SPACE jest wyjątkowe wśród dostawców, oferując pełen zestaw mechanizmów kontroli. SPACE łączy w sobie wstrzymywanie i wznawianie, rozgałęzianie sesji, izolację poświadczeń dla poszczególnych sesji, przekazywanie protokołów i orkiestrację wielobackendową na jednej platformie.

SPACE wykonuje kroczące migawki pełnego stanu sesji, rejestrując pamięć operacyjną wraz z plikami nawet co minutę. Można cofnąć się w czasie o tydzień. To w zasadzie wbudowana maszyna czasu: każdy może przerwać zadanie w trakcie, wrócić tydzień później, a agent podejmie pracę dokładnie w miejscu, w którym została wstrzymana.

SPACE domyślnie traktuje piaskownicę jako niezaufaną i otacza ją kontrolami sieciowymi, kontrolami poświadczeń, separacją dzierżawców oraz szyfrowanym przechowywaniem danych. Jeśli jedna warstwa zostanie skompromitowana, pozostałe ochronią dane osobowe.

Dzięki SPACE klienci korporacyjni mogą również dostarczyć własne klucze szyfrujące. Jeśli klient cofnie swój klucz, nowe piaskownice nie będą mogły się uruchomić, a istniejące dane zaszyfrowane przez klienta nie będą mogły zostać odszyfrowane.

Dla tych, którzy pracują z danymi szczególnie wrażliwymi, SPACE został zaprojektowany do pracy zarówno lokalnie (on-prem), jak i całkowicie offline. Ten poziom kontroli gwarantuje, że dane nigdy nie muszą opuszczać bezpiecznego środowiska.

Wspieranie Perplexity

Inżynierowie Perplexity przekształcili SPACE z koncepcji w produkt w ciągu 10 tygodni. Używamy SPACE wewnętrznie od dwóch miesięcy. W ciągu ostatniego tygodnia system obsłużył miliony utworzeń piaskownic i dziesiątki milionów ponownych połączeń z piaskownicami. Jest już dostępny w Computer dla wszystkich użytkowników.

SPACE został zbudowany, aby działać wszędzie. W teście na procesorze NVIDIA Vera rzeczywiste przepływy pracy w stylu Computer działały o około 1,5 razy szybciej niż nasza obecna referencyjna produkcja i uruchamiały równoległe piaskownice do 1,9 razy szybciej. Ten wczesny sygnał pokazuje, że Vera zapewni wyjątkową wartość dla piaskownic agentowych i potwierdza agnostyczność backendową SPACE.

Inwestycja w bezpieczne środowiska

Wierzymy, że nie powinno być kompromisów między funkcjonalnością, wydajnością a bezpieczeństwem. Agenci powinni pracować na tych samych danych co my, z takim samym zaufaniem, jakim obdarzylibyśmy każdego współpracownika.

SPACE to tylko pierwsza iteracja tego bezpiecznego środowiska. W miarę jak AI będzie się rozwijać, nasze systemy bezpieczeństwa i infrastruktury również będą ewoluować.

Zobacz Making SPACE: Secure and Efficient Runtimes for Long-Running Agents, aby uzyskać więcej szczegółów.