Безопасные песочницы для агентов

Агенты ИИ выполняют реальную работу от нашего имени: редактируют файлы, запускают код и выполняют многоэтапные задачи, занимающие часы или дни. Это часто требует доступа к конфиденциальной информации, из-за чего то, где работает агент, имеет большее значение, чем интеллектуальные возможности модели.

Песочницы обеспечивают безопасность агентов, позволяя им получать доступ к инструментам и файлам, необходимым для выполнения этих задач, при этом защищая конфиденциальную информацию.

При создании нашей платформы для агентов Computer мы изучали готовые решения для песочниц. Каждый вариант требовал поиска компромисса между функциональностью, эффективностью и безопасностью. Perplexity Computer требовалось сочетание всех трех характеристик, поэтому мы создали совершенно новый тип песочницы.

Сегодня мы представляем SPACE — платформу песочницы, разработанную для раскрытия полного потенциала Computer при обеспечении высочайшего уровня безопасности для продвинутых агентных систем.

Переосмысление архитектуры песочницы

SPACE запускает эфемерные песочницы, которые существуют ровно столько, сколько нужно для выполнения кода, взаимодействия с файлами или решения других задач. По завершении задачи песочница и все, что находится внутри нее, уничтожается.

Для долгосрочных задач, требующих сохранения состояния при перезапусках, SPACE заключает каждую песочницу в сеанс, который можно приостановить, возобновить или разветвить на несколько песочниц. Технология последовательных снимков SPACE позволяет контексту перемещаться вместе с рабочим процессом, даже если ни одна отдельная песочница не делает этого сама по себе.

Устранение предыдущих компромиссов

Большинство платформ песочниц решают только две из трех задач: функциональность, эффективность или безопасность. Оптимизация одного параметра, как правило, происходит за счет другого. Некоторые решения обладают мощными средствами изоляции, но оставляют учетные данные открытыми внутри среды. Другие хорошо справляются с кратковременными задачами, но теряют состояние и дают сбой, когда сеанс должен длиться часами.

SPACE решает все три задачи путем разделения функционала между специализированными службами. Сетевой шлюз, демон Space и служба файлов обеспечивают безопасность различных частей стека. Они также предоставляют учетные данные извне песочницы только в тот момент, когда они необходимы.

Благодаря такой конструкции скомпрометированный агент по умолчанию не имеет доступа к учетным данным, управляемым платформой. Кроме того, у него нет доступа за пределами поставленной задачи, независимо от продолжительности сеанса или бэкенда.

Создание трех уровней безопасности

SPACE состоит из трех ключевых уровней, каждый из которых оснащен встроенными надежными средствами обеспечения безопасности:

Уровень управления (Control Plane): Первый уровень архитектуры SPACE, уровень управления, отвечает за организацию жизненного цикла песочницы. Он получает каждый запрос через единый API, отслеживает состояние песочницы и в режиме реального времени определяет, на какой бэкенд направить запрос. Он определяет, когда для задачи требуется новая песочница. Он также решает, когда задача завершена и соответствующая песочница может быть уничтожена. Поскольку уровень управления не сохраняет состояние и размещается централизованно, один и тот же вызов API работает на любой существующей инфраструктуре, включая локальный компьютер.

Службы на уровне узла (Node-level Services): Именно здесь, в SPACE, подход Perplexity к безопасности становится особенно заметным. В SPACE учетные данные никогда не попадают в песочницу. Вместо этого они передаются извне только в тот самый момент, когда они нужны. Когда агенту требуется временный доступ для подключения к учетной записи Google, SPACE может управлять процессом входа в систему, не раскрывая учетные данные внутри песочницы. Исходящий сетевой трафик также контролируется на уровне узла. Скомпрометированный агент не может получить доступ ни к чему за пределами разрешенной области видимости.

Внутри песочницы (In-sandbox): Уровень внутри песочницы является последним рубежом обороны SPACE. В SPACE каждая задача выполняется внутри микровиртуальной машины Firecracker — полностью изолированной среды с собственной операционной системой. Это означает, что ничто внутри нее не может повлиять на хост или любую другую песочницу, работающую параллельно. Демон Space — единственный процесс, который взаимодействует с уровнем управления Perplexity. Он передает операционные сигналы, такие как команды запуска, приостановки и создания снимков. Именно это делает канал связи проверяемым и контролируемым.

Предложение полного набора элементов управления

SPACE уникальна среди провайдеров тем, что предлагает полный набор элементов управления. SPACE объединяет возможности приостановки и возобновления, разветвления сеанса, изоляции учетных данных для каждого сеанса, переадресации протоколов и оркестрации нескольких бэкендов в рамках единой платформы.

SPACE делает последовательные снимки состояния всего сеанса, фиксируя оперативную память вместе с файлами с периодичностью до одной минуты. Она позволяет вернуться назад во времени на неделю. По сути, это встроенная машина времени: любой пользователь может прервать выполнение задачи, вернуться через неделю, и агент продолжит работу именно с того места, где она была приостановлена.

SPACE по умолчанию рассматривает песочницу как недоверенную среду и окружает ее средствами сетевого контроля, управления учетными данными, разделения арендаторов и зашифрованного хранилища. Если один уровень будет скомпрометирован, остальные защитят личную информацию.

С помощью SPACE корпоративные клиенты также могут использовать собственные ключи шифрования. Если клиент отзывает свой ключ, новые песочницы не могут быть запущены, а существующие зашифрованные данные клиента больше не могут быть расшифрованы.

Для тех, кто работает с особо конфиденциальными данными, SPACE разработана для работы как на локальных серверах (on-prem), так и полностью в автономном режиме. Такой уровень контроля гарантирует, что данные никогда не покинут защищенную среду.

Обеспечивая работу Perplexity

Инженеры Perplexity прошли путь от концепции до продукта SPACE за 10 недель. Мы используем SPACE внутри компании последние два месяца. За последнюю неделю она обеспечила создание миллионов песочниц и десятки миллионов переподключений к ним. Сегодня она уже работает в Computer для всех пользователей.

SPACE создавалась для работы в любых условиях. В ходе раннего тестирования на процессорах NVIDIA Vera рабочие процессы в стиле Computer выполнялись примерно в 1,5 раза быстрее, чем в нашей текущей производственной эталонной среде, а параллельные песочницы запускались до 1,9 раз быстрее. Этот ранний сигнал демонстрирует, что Vera обеспечит исключительную ценность для агентных песочниц и подтверждает концепцию независимости от бэкенда, лежащую в основе SPACE.

Инвестиции в безопасные среды

Мы считаем, что не должно быть выбора между функциональностью, эффективностью и безопасностью. Агенты должны работать с теми же данными, что и мы, с тем же доверием, которое мы оказали бы любому коллеге.

SPACE — это только первая итерация такой безопасной среды. По мере развития ИИ будут совершенствоваться и наши системы безопасности и инфраструктуры.

Подробности см. в разделе Создание SPACE: безопасные и эффективные среды выполнения для долгосрочных агентов.