Открываем исходный код SPACE — платформы песочниц, на которой работает Computer

С момента запуска Computer в феврале Perplexity стала одним из первопроходцев в сфере персональных агентов. Мы намерены решать сложные задачи управления агентами, выявления небезопасного поведения и предотвращения неконтролируемых действий агентов. В июле мы заменили коммерческого поставщика песочниц более надежным и отказоустойчивым собственным решением, которое назвали SPACE.

SPACE обеспечивает высокий уровень безопасности для продвинутых агентных систем. Недавняя серия тестов безопасности доказала устойчивость SPACE к методам обхода сетевых ограничений, подобным тем, что применялись в инциденте с OpenAI и Hugging Face.

Сегодня мы открываем исходный код SPACE, чтобы дать разработчикам основу для создания более безопасных агентных систем и возможность вносить вклад в укрепление защиты во всей отрасли. Разработчики могут перейти в репозиторий по этой ссылке.

Управление агентами — это инженерная задача, и для ее решения необходим открытый исходный код. Когда у разработчиков есть системы, которые можно изучать, адаптировать и развивать, они находят больше уязвимостей и создают более совершенные инструменты. Открытие исходного кода SPACE дает разработчикам проверенную в реальной эксплуатации основу для сред выполнения агентов со встроенной изоляцией, восстановлением состояния и контролем учетных данных и сетевого доступа.

Создание основы для других разработчиков

Песочницы обеспечивают безопасность агентов: они дают им доступ к инструментам и файлам, необходимым для выполнения этих задач, и при этом защищают конфиденциальную информацию.

Открытие исходного кода SPACE дает разработчикам отправную точку для создания сред, в которых их агенты выполняют код и работают с файлами. Команды могут изучить, как устроена платформа песочниц SPACE, и взять ее реализацию за основу. Они также могут адаптировать ее под свои задачи, а не воссоздавать базовую инфраструктуру с нуля.

В Computer SPACE поддерживает изолированное выполнение кода, приостановку и возобновление работы, восстановление и ветвление сеансов. Эти возможности служат основой для ассистентов, которые могли бы:

• Анализировать данные: очищать электронную таблицу, выполнять вычисления и строить диаграммы в отдельной рабочей среде.
• Возобновлять работу: делать паузу, чтобы человек мог проверить черновик или предоставить недостающую информацию, а затем продолжать работу с сохраненными файлами и текущим состоянием.
• Исследовать альтернативы: проверять два способа очистки набора данных в отдельных копиях рабочей среды или восстанавливать более раннюю версию файла после ошибки.

Эти примеры показывают, как разработчики могут использовать описанные в документации SPACE средства изоляции и управления сеансами. Инженеры по платформам и безопасности также могут изучить модель изоляции и примеры обеспечения безопасности, прежде чем интегрировать SPACE в собственные системы.

Повышение безопасности автономной работы

Предоставляя агентам больше свободы в решении задач, мы должны устанавливать четкие ограничения на то, как они это делают. Мы знаем, что даже агенты, выполняющие легитимные задачи, могут нарушать границы безопасности, когда пытаются найти обходные пути при отсутствии файлов, сбоях запросов или отказах в доступе.

Мы можем внедрить защитные механизмы в модели, чтобы снизить вероятность небезопасного поведения. Независимые средства контроля в окружающей системе помогают ограничить ущерб, если эти механизмы не сработают. Они ограничивают доступ агента к ресурсам независимо от того, какие решения он принимает.

SPACE применяет эти средства контроля к отдельной рабочей среде для кода и файлов, созданных агентом. Мы разработали его так, чтобы он сочетал изоляцию, восстановление и эффективное выполнение. Благодаря этому агенты могут выполнять полезную работу в ходе длительных сеансов, не полагаясь лишь на то, что модель сама будет соблюдать границы безопасности.

Работа в собственной операционной системе

Каждая песочница SPACE работает внутри небольшой виртуальной машины с собственной операционной системой, что создает границу изоляции между работой агента и хост-системой. Центральная плоскость управления координирует, когда эти рабочие среды создаются, приостанавливаются, возобновляются или удаляются.

SPACE рассматривает песочницу как недоверенную среду и управляет сетевым доступом и учетными данными, хранящимися на стороне платформы, за ее пределами. Агенты могут подключаться к авторизованным сервисам, при этом сами учетные данные не хранятся в их рабочей среде.

Частые снимки файлов и контрольные точки всей работающей среды сохраняют прогресс при прерываниях. Чтобы эти операции оставались эффективными, SPACE сохраняет изменения, а не копирует каждый раз среду целиком. Это сокращает объем работы, необходимой для создания, восстановления или ветвления песочницы.

Повышение производительности в реальной эксплуатации

С июля SPACE обеспечивает работу всех сеансов Computer и ежедневно обрабатывает миллионы операций создания песочниц. При сравнении на одном и том же реальном трафике песочницы создавались в три–пять раз быстрее, чем у нашего предыдущего поставщика.

Мы также протестировали SPACE на агентах, которые намеренно пытались выйти за его границы. Согласно опубликованной нами оценке безопасности, ни одна из 108 попыток не привела к выходу из виртуальной машины на хост, однако некоторым агентам удалось обойти сетевые ограничения. Мы устранили эти уязвимости, и при повторном тестировании ни один из двух выявленных методов атаки не сработал.

Мы также сообщили поставщикам других платформ песочниц о найденных у них схожих уязвимостях, распространив эту работу за пределы собственной инфраструктуры.

Вклад в более безопасный агентный ИИ

SPACE — часть более масштабной работы по укреплению систем, на которые люди полагаются по мере того, как ИИ берет на себя все больше задач. В рамках Secure Intelligence Institute мы проводим исследования в области безопасности и сотрудничаем с широким сообществом, превращая полученные результаты в практические средства защиты.

Мы считаем, что открытие исходного кода инструментов безопасности дает разработчикам больше возможностей тестировать средства защиты, находить уязвимости и создавать более безопасные системы ИИ. Мы опубликовали инструменты, которые охватывают разные аспекты этой работы:

• BrowseSafe — модель и бенчмарк для обнаружения вредоносных инструкций, скрытых на веб-страницах.
• Numbat — набор инструментов безопасности, исходный код которого был открыт в июле; он помогает выявлять, расследовать и предотвращать опасное поведение агентов на компьютерах
• Bumblebee — сканер, исходный код которого был открыт в мае; он проверяет компьютеры разработчиков на наличие рискованных программных пакетов, расширений и конфигураций ИИ-инструментов

Открывая доступ к этим инструментам, мы позволяем другим командам изучать нашу работу, адаптировать ее под свои задачи и предлагать улучшения. С SPACE мы распространяем этот подход на среды, в которых агенты выполняют код и работают с файлами.

Развертывание в агентных системах

Компания Akamai протестировала и запустила SPACE на своей облачной платформе и совместно с Perplexity работает над тем, чтобы предложить SPACE своим клиентам. Компания Crusoe также сотрудничает с Perplexity, чтобы добавить SPACE в свой портфель Managed AI Services. А компания CoreWeave опубликовала руководство по настройке для разработчиков, которые хотят развернуть SPACE на CKS для оценки.

Чтобы развернуть SPACE в собственных агентных системах, разработчики могут начать с его инструкций по настройке и рекомендаций по безопасности. В репозитории и документации описаны поддерживаемые конфигурации и входящие в состав компоненты.