Sandboxes seguros para agentes

Agentes de IA realizam trabalho real em nosso nome: editar arquivos, executar código e realizar tarefas de várias etapas ao longo de horas ou dias. Isso geralmente requer acesso a informações privadas, o que torna o onde um agente é executado mais importante do que o quão inteligente o modelo é.

Sandboxes mantêm os agentes seguros, permitindo que eles acessem as ferramentas e os arquivos de que precisam para concluir essas tarefas, enquanto mantêm informações confidenciais protegidas.

Ao construir nossa plataforma de agentes Computer, exploramos opções de sandbox prontas para uso. Cada opção exigiu que considerássemos as compensações entre funcionalidade, eficiência e segurança. O Perplexity Computer precisava dos três, então construímos um tipo totalmente novo de sandbox.

Hoje, estamos apresentando o ESPAÇO, uma plataforma de sandbox projetada para liberar todo o poder do Computer enquanto fornece o mais alto nível de segurança para sistemas agente avançados.

Reinventando a arquitetura de sandbox

O ESPAÇO inicia sandboxes efêmeras que vivem apenas enquanto são necessárias para executar código, interagir com arquivos ou outras tarefas. Quando a tarefa termina, o sandbox e tudo dentro dele são destruídos.

Para trabalhos de longo prazo que precisam sobreviver a reinicializações, o ESPAÇO envolve cada sandbox em uma Sessão que pode ser pausada, retomada ou ramificada em múltiplos sandboxes. A tecnologia de snapshot contínuo do ESPAÇO permite que o contexto viaje com o trabalho, mesmo que nenhum sandbox individual o faça.

Eliminando compensações anteriores

A maioria das plataformas de sandbox resolve apenas duas das três variáveis: funcionalidade, eficiência ou segurança. Otimizar uma geralmente ocorre em detrimento de outra. Algumas soluções têm primitivas de isolamento fortes, mas deixam credenciais expostas dentro do ambiente. Outras executam trabalhos de curta duração bem, mas perdem o estado e falham quando uma Sessão precisa ser executada por horas.

O ESPAÇO resolve todos os três separando preocupações em serviços dedicados. O Network Gateway, o Space Daemon e o File Service protegem uma parte diferente da pilha. Eles também entregam credenciais de fora do sandbox apenas no momento em que são necessárias.

Com esse design, um agente comprometido não tem caminho para credenciais gerenciadas pela plataforma por padrão. E ele não tem acesso além da tarefa que lhe foi dada, independentemente da duração da Sessão ou do backend.

Criando três camadas de segurança

O ESPAÇO é composto por três camadas principais, cada uma com fortes medidas de segurança incorporadas:

Plano de Controle: A primeira camada da arquitetura do ESPAÇO, o Plano de Controle, é responsável por orquestrar o ciclo de vida do sandbox. Ele recebe cada solicitação por meio de uma única API, rastreia o estado do sandbox e decide em tempo real para qual backend rotear. Ele determina quando uma tarefa precisa de um novo sandbox. Ele também decide quando uma tarefa está concluída e seu sandbox correspondente pode ser destruído. Como o Plano de Controle é sem estado e hospedado centralmente, a mesma chamada de API funciona em qualquer infraestrutura existente, incluindo uma máquina local.

Serviços de nível de nó: No ESPAÇO, os Serviços de nível de nó é onde a postura de segurança da Perplexity se destaca. Com o ESPAÇO, as credenciais nunca passam para o sandbox. Em vez disso, elas são passadas de fora do sandbox apenas no momento preciso em que são necessárias. Quando um agente precisa de acesso temporário para se conectar a uma conta Google, o ESPAÇO pode lidar com o fluxo de login sem expor credenciais dentro do sandbox. O tráfego de rede de saída também é controlado no nível do nó. Um agente comprometido não pode alcançar nada fora de seu escopo permitido.

No sandbox: A camada interna do sandbox é a última linha de defesa do ESPAÇO. Com o ESPAÇO, cada tarefa é executada dentro de um microVM Firecracker, um ambiente totalmente isolado com seu próprio sistema operacional. Isso significa que nada dentro pode afetar o host ou qualquer outro sandbox executado em paralelo. O Space Daemon é o único processo que fala com o plano de controle da Perplexity. Ele transporta sinais operacionais como comandos de início, pausa e snapshot. É isso que torna o canal de comunicação auditável e controlável.

Oferecendo um conjunto completo de controles

O ESPAÇO é único entre os provedores ao oferecer um conjunto completo de controles. O ESPAÇO combina pausa e retomada, bifurcação de Sessão, isolamento de credenciais por Sessão, encaminhamento de protocolo e orquestração multi-backend em uma única plataforma.

O ESPAÇO tira snapshots contínuos do estado completo da Sessão, capturando memória ativa junto com arquivos com frequência de até um minuto. Ele pode voltar no tempo uma semana. É essencialmente uma máquina do tempo embutida: qualquer pessoa pode sair no meio da tarefa, voltar uma semana depois, e o agente recomeça exatamente de onde pausou.

O ESPAÇO trata o sandbox como não confiável por padrão e o cerca com controles de rede, controles de credenciais, separação de locatários e armazenamento criptografado. Se uma camada for comprometida, as outras protegerão as informações pessoais.

Com o ESPAÇO, clientes corporativos também podem trazer suas próprias chaves de criptografia. Se um cliente revogar sua chave, novos sandboxes não podem inicializar e dados existentes criptografados pelo cliente não podem mais ser descriptografados.

Para aqueles que trabalham com dados particularmente confidenciais, o ESPAÇO foi projetado para funcionar tanto no local quanto totalmente offline. Esse nível de controle garante que os dados nunca precisem deixar um ambiente seguro.

Impulsionando a Perplexity

Os engenheiros da Perplexity levaram o ESPAÇO do conceito ao produto em 10 semanas. Temos usado o ESPAÇO internamente nos últimos dois meses. Na última semana, ele suportou milhões de criações de sandbox e dezenas de milhões de reconexões de sandbox. Ele está ativo no Computer para todos os usuários hoje.

O ESPAÇO foi construído para ser executado em qualquer lugar. Em um teste inicial na CPU NVIDIA Vera, fluxos de trabalho do tipo Computer reais foram executados aproximadamente 1,5x mais rápido do que nossa referência de produção atual e iniciaram sandboxes simultâneos até 1,9x mais rápido. Este sinal inicial demonstra que a Vera entregará valor excepcional para sandboxes de agentes e valida o agnosticismo de backend por trás do ESPAÇO.

Investindo em ambientes seguros

Acreditamos que não deveria haver uma compensação entre funcionalidade, eficiência e segurança. Os agentes devem trabalhar com os mesmos dados que nós, com a mesma confiança que depositaríamos em qualquer colega de equipe.

O ESPAÇO é apenas a primeira iteração deste ambiente seguro. À medida que a IA continua a evoluir, nossos sistemas de segurança e infraestrutura também evoluirão.

Veja Fazendo o ESPAÇO: Runtimes Seguros e Eficientes para Agentes de Longa Execução para mais detalhes.