Bezbedna okruženja u pesku za agente

AI agenti obavljaju stvarne zadatke u naše ime: uređuju datoteke, pokreću kôd i izvršavaju zadatke u više koraka koji traju satima ili danima. To često zahteva pristup privatnim informacijama, zbog čega mesto gde agent radi postaje važnije od toga koliko je model pametan.

Okruženja u pesku (sandboxes) čuvaju agente bezbednima, omogućavajući im pristup alatima i datotekama koje su im potrebne za završetak ovih zadataka, istovremeno štiteći osetljive informacije.

Prilikom izrade naše platforme za agente Computer, istražili smo gotove opcije okruženja u pesku (sandbox). Svaka opcija je od nas zahtevala da razmotrimo kompromise između funkcionalnosti, efikasnosti i bezbednosti. Za Perplexity Computer bila su potrebna sva tri, pa smo napravili potpuno novu vrstu okruženja u pesku (sandbox).

Danas predstavljamo SPACE, platformu okruženja u pesku (sandbox) dizajniranu da oslobodi pun potencijal sistema Computer uz pružanje najvišeg nivoa bezbednosti za napredne sisteme agenata.

Ponovno osmišljavanje arhitekture okruženja u pesku (sandbox)

SPACE pokreće efemerna okruženja u pesku (sandbox) koja žive samo onoliko koliko je potrebno za pokretanje kôda, interakciju sa datotekama ili druge zadatke. Kada se zadatak završi, okruženje u pesku (sandbox) i sve u njemu se uništava.

Za dugoročne zadatke koji moraju da prežive ponovna pokretanja, SPACE obavija svako okruženje u pesku (sandbox) sesijom koja se može pauzirati, nastaviti ili razgranati u više okruženja u pesku (sandbox). SPACE-ova tehnologija rotirajućih snimaka stanja omogućava da kontekst putuje sa radom, iako nijedno pojedinačno okruženje u pesku (sandbox) to ne čini.

Eliminisanje prethodnih kompromisa

Većina platformi okruženja u pesku (sandbox) rešava samo dve od tri varijable: funkcionalnost, efikasnost ili bezbednost. Optimizacija za jednu obično dolazi nauštrb druge. Neka rešenja imaju jake primitive izolacije, ali ostavljaju akreditive izložene unutar okruženja. Druga dobro izvršavaju poslove kratkog veka, ali gube stanje i ne uspevaju kada sesija treba da radi satima.

SPACE rešava sva tri razdvajanjem briga preko namenskih servisa. Mrežni mrežni prolaz (Network Gateway), Space Daemon i servis datoteka (File Service) obezbeđuju svaki različiti deo steka. Oni takođe isporučuju akreditive izvan okruženja u pesku (sandbox) samo u trenutku kada su potrebni.

Sa ovim dizajnom, kompromitovani agent po defaultu nema put do akreditiva kojima upravlja platforma. I nema pristup izvan zadatka koji mu je dodeljen, bez obzira na trajanje sesije ili pozadinsku infrastrukturu (backend).

Kreiranje tri sloja bezbednosti

SPACE se sastoji od tri ključna sloja, od kojih svaki ima ugrađene snažne bezbednosne mere:

Upravljačka ravan (Control Plane): Prvi sloj SPACE arhitekture, upravljačka ravan je odgovorna za orkestraciju životnog ciklusa okruženja u pesku (sandbox). Ona prima svaki zahtev preko jednog API-ja, prati stanje okruženja u pesku (sandbox) i u realnom vremenu odlučuje na koju pozadinsku infrastrukturu (backend) da usmeri zahtev. Ona određuje kada je zadatku potrebno novo okruženje u pesku (sandbox). Takođe odlučuje kada je zadatak završen i kada se odgovarajuće okruženje u pesku (sandbox) može uništiti. Budući da je upravljačka ravan bez stanja (stateless) i centralno hostovana, isti API poziv radi na bilo kojoj postojećoj infrastrukturi, uključujući lokalnu mašinu.

Servisi na nivou čvora (Node-level Services): U SPACE-u, servisi na nivou čvora predstavljaju mesto gde se bezbednosni stav kompanije Perplexity ističe. Sa SPACE-om, akreditive nikada ne prelaze u okruženje u pesku (sandbox). Umesto toga, oni se prosleđuju izvan okruženja u pesku (sandbox) samo u tačnom trenutku kada su potrebni. Kada agentu zatreba privremeni pristup za povezivanje sa Google nalogom, SPACE može upravljati tokom prijave bez izlaganja akreditiva unutar okruženja u pesku (sandbox). Odlazni mrežni saobraćaj se takođe kontroliše na nivou čvora. Kompromitovani agent ne može da dosegne bilo šta izvan svog dozvoljenog opsega.

Unutar okruženja u pesku (In-sandbox): Sloj unutar okruženja u pesku je poslednja linija odbrane SPACE-a. Sa SPACE-om, svaki zadatak se izvršava unutar Firecracker mikroVM-a, potpuno izolovanog okruženja sa sopstvenim operativnim sistemom. To znači da ništa unutra ne može uticati na domaćina (host) ili bilo koje drugo okruženje u pesku (sandbox) koje se pokreće paralelno. Space Daemon je jedini proces koji komunicira sa kontrolnom ravni kompanije Perplexity. On prenosi operativne signale kao što su komande za pokretanje, pauziranje i snimanje stanja (snapshot). Ovo je ono što komunikacioni kanal čini proverljivim i kontrolisanim.

Pružanje sveobuhvatnog skupa kontrola

SPACE je jedinstven među pružaocima usluga po tome što nudi kompletan skup kontrola. SPACE kombinuje pauziranje i nastavak, grananje sesija, izolaciju akreditiva po sesiji, prosleđivanje protokola i orkestraciju više pozadinskih infrastruktura (multi-backend) na jednoj platformi.

SPACE pravi rotirajuće snimke stanja (snapshots) celog stanja sesije, snimajući živu memoriju zajedno sa datotekama čak i na svakih minut. Može da se vrati u prošlost za nedelju dana. To je u suštini ugrađena vremenska mašina: svako može da se udalji usred zadatka, vrati se nedelju dana kasnije, a agent nastavlja tačno tamo gde je pauziran.

SPACE tretira okruženje u pesku (sandbox) kao nepoverljivo po defaultu i okružuje ga mrežnim kontrolama, kontrolama akreditiva, razdvajanjem zakupaca (tenants) i šifrovanim skladištem. Ako je jedan sloj kompromitovan, ostali će zaštititi lične podatke.

Sa SPACE-om, korporativni klijenti mogu doneti i sopstvene ključeve za šifrovanje. Ako klijent opozove svoj ključ, nova okruženja u pesku (sandbox) ne mogu da se pokrenu, a postojeći podaci šifrovani od strane klijenta više ne mogu da se dešifruju.

Za one koji rade sa posebno osetljivim podacima, SPACE je dizajniran da radi i lokalno (on-prem) i potpuno van mreže (offline). Ovaj nivo kontrole osigurava da podaci nikada ne moraju da napuste bezbedno okruženje.

Pokretanje kompanije Perplexity

Inženjeri kompanije Perplexity preveli su SPACE od koncepta do proizvoda za 10 nedelja. Koristimo SPACE interno već poslednja dva meseca. Tokom protekle nedelje, podržao je milione kreiranja okruženja u pesku (sandbox) i desetine miliona ponovnih povezivanja sa okruženjem u pesku (sandbox). Danas je dostupan u sistemu Computer za sve korisnike.

SPACE je napravljen da radi bilo gde. U ranom testu na NVIDIA Vera CPU-u, stvarni radni procesi (workflows) u stilu sistema Computer radili su otprilike 1,5 puta brže od naše trenutne produkcijske reference i pokretali su paralelna okruženja u pesku (sandbox) do 1,9 puta brže. Ovaj rani signal pokazuje da će Vera pružiti izuzetnu vrednost za okruženja u pesku (sandbox) agenata i potvrđuje agnostičnost pozadinske infrastrukture (backend) iza sistema SPACE.

Ulaganje u bezbedna okruženja

Verujemo da ne treba da postoji kompromis između funkcionalnosti, efikasnosti i bezbednosti. Agenti bi trebalo da rade sa istim podacima kao i mi, uz isto poverenje koje bismo ukazali bilo kom članu tima.

SPACE je samo prva iteracija ovog bezbednog okruženja. Kako se veštačka inteligencija (AI) bude razvijala, razvijaće se i naši bezbednosni i infrastrukturni sistemi.

Pogledajte Making SPACE: Secure and Efficient Runtimes for Long-Running Agents za više detalja.