Sandboxes seguros para agentes

Os agentes de IA realizam trabalho real em nosso nome: editando arquivos, executando código e realizando tarefas em várias etapas ao longo de horas ou dias. Isso geralmente requer acesso a informações privadas, o que torna o local onde um agente é executado mais importante do que a inteligência do modelo.

Os sandboxes mantêm os agentes seguros, permitindo que acessem as ferramentas e os arquivos de que precisam para concluir essas tarefas, mantendo as informações confidenciais protegidas.

Ao criar nossa plataforma de agente Computer, exploramos opções de sandbox prontas para uso. Cada opção exigia que considerássemos compensações entre funcionalidade, eficiência e segurança. O Perplexity Computer precisava dos três, então criamos um tipo totalmente novo de sandbox.

Hoje, estamos apresentando o SPACE, uma plataforma de sandbox projetada para liberar todo o poder do Computer, fornecendo ao mesmo tempo o mais alto nível de segurança para sistemas de agentes avançados.

Reinventando a arquitetura de sandbox

O SPACE inicia sandboxes efêmeros que duram apenas o tempo necessário para executar código, interagir com arquivos ou realizar outras tarefas. Quando a tarefa termina, o sandbox e tudo dentro dele são destruídos.

Para trabalhos de longo prazo que precisam sobreviver a reinicializações, o SPACE envolve cada sandbox em uma sessão que pode ser pausada, retomada ou ramificada em vários sandboxes. A tecnologia de instantâneos contínuos do SPACE permite que o contexto viaje com o trabalho, mesmo que nenhum sandbox individual faça isso.

Eliminando concessões anteriores

A maioria das plataformas de sandbox resolve apenas duas de três variáveis: funcionalidade, eficiência ou segurança. Otimizar para uma tende a ser às custas de outra. Algumas soluções têm fortes primitivas de isolamento, mas deixam as credenciais expostas dentro do ambiente. Outras executam trabalhos de curta duração com eficiência, mas perdem o estado e falham quando uma sessão precisa durar horas.

O SPACE resolve todos os três separando responsabilidades entre serviços dedicados. O Network Gateway, o Space Daemon e o File Service protegem cada um uma parte diferente da pilha. Eles também fornecem credenciais de fora do sandbox apenas no momento em que são necessárias.

Com esse design, um agente comprometido não tem caminho para credenciais gerenciadas pela plataforma por padrão. E ele não tem acesso além da tarefa que lhe foi atribuída, independentemente da duração da sessão ou do backend.

Criando três camadas de segurança

O SPACE é composto por três camadas principais, cada uma com fortes medidas de segurança integradas:

Control Plane: A primeira camada da arquitetura do SPACE, o Control Plane, é responsável por orquestrar o ciclo de vida do sandbox. Ele recebe todas as solicitações por meio de uma única API, rastreia o estado do sandbox e decide em tempo real para qual backend rotear. Ele determina quando uma tarefa precisa de um novo sandbox. Ele também decide quando uma tarefa está concluída e seu sandbox correspondente pode ser destruído. Como o Control Plane é sem estado e hospedado centralmente, a mesma chamada de API funciona em qualquer infraestrutura existente, incluindo uma máquina local.

Node-level Services: No SPACE, os Node-level Services é onde a postura de segurança da Perplexity se destaca. Com o SPACE, as credenciais nunca passam para o sandbox. Em vez disso, elas são passadas de fora do sandbox apenas no momento preciso em que são necessárias. Quando um agente precisa de acesso temporário para se conectar a uma conta do Google, o SPACE pode lidar com o fluxo de login sem expor credenciais dentro do sandbox. O tráfego de rede de saída também é controlado no nível do nó. Um agente comprometido não pode alcançar nada fora de seu escopo permitido.

In-sandbox: A camada in-sandbox é a última linha de defesa do SPACE. Com o SPACE, cada tarefa é executada dentro de um microVM Firecracker, um ambiente totalmente isolado com seu próprio sistema operacional. Isso significa que nada lá dentro pode afetar o host ou qualquer outro sandbox executado em paralelo. O Space Daemon é o único processo que se comunica com o plano de controle da Perplexity. Ele carrega sinais operacionais como comandos de início, pausa e instantâneo. É isso que torna o canal de comunicação auditável e controlável.

Oferecendo um conjunto completo de controles

O SPACE é único entre os provedores por oferecer um conjunto completo de controles. O SPACE combina pausa e retomada, ramificação de sessão, isolamento de credenciais por sessão, encaminhamento de protocolo e orquestração de múltiplos backends em uma única plataforma.

O SPACE tira instantâneos contínuos de todo o estado da sessão, capturando a memória ativa junto com os arquivos com tanta frequência quanto a cada minuto. Ele pode voltar no tempo uma semana. É essencialmente uma máquina do tempo embutida: qualquer pessoa pode se afastar no meio de uma tarefa, voltar uma semana depois e o agente retoma exatamente de onde parou.

O SPACE trata o sandbox como não confiável por padrão e o cerca com controles de rede, controles de credenciais, separação de locatários e armazenamento criptografado. Se uma camada for comprometida, as outras protegerão as informações pessoais.

Com o SPACE, os clientes corporativos também podem trazer suas próprias chaves de criptografia. Se um cliente revogar sua chave, novos sandboxes não poderão inicializar e os dados existentes criptografados pelo cliente não poderão mais ser descriptografados.

Para aqueles que trabalham com dados particularmente sensíveis, o SPACE foi projetado para funcionar tanto no local quanto totalmente offline. Esse nível de controle garante que os dados nunca precisem sair de um ambiente seguro.

Potencializando a Perplexity

Os engenheiros da Perplexity levaram o SPACE do conceito ao produto em 10 semanas. Usamos o SPACE internamente nos últimos dois meses. Na última semana, ele apoiou milhões de criações de sandbox e dezenas de milhões de reconexões de sandbox. Ele está ativo no Computer para todos os usuários hoje.

O SPACE foi construído para ser executado em qualquer lugar. Em um teste inicial na CPU NVIDIA Vera, os fluxos de trabalho reais no estilo do Computer foram executados cerca de 1,5x mais rápido do que nossa referência de produção atual e iniciaram sandboxes concorrentes até 1,9x mais rápido. Esse sinal inicial demonstra que o Vera entregará um valor excepcional para sandboxes de agentes e valida o agnosticismo de backend por trás do SPACE.

Investindo em ambientes seguros

Acreditamos que não deve haver uma concessão entre funcionalidade, eficiência e segurança. Os agentes devem trabalhar com os mesmos dados que nós, com a mesma confiança que depositaríamos em qualquer colega de equipe.

O SPACE é apenas a primeira iteração deste ambiente seguro. À medida que a IA continua a evoluir, nossos sistemas de segurança e infraestrutura também evoluirão.

Veja Making SPACE: Secure and Efficient Runtimes for Long-Running Agents para mais detalhes.