Säkra sandlådor för agenter

AI-agenter utför verkligt arbete åt oss: redigerar filer, kör kod och utför uppgifter i flera steg under timmar eller dagar. Detta kräver ofta tillgång till privat information, vilket gör att var en agent körs spelar större roll än hur smart modellen är.

Sandlådor håller agenter säkra och ger dem tillgång till de verktyg och filer de behöver för att slutföra dessa uppgifter, samtidigt som känslig information skyddas.

När vi byggde vår agentplattform Computer utforskade vi färdiga sandlådealternativ. Varje alternativ krävde att vi övervägde avvägningar mellan funktionalitet, effektivitet och säkerhet. Perplexity Computer behövde alla tre, så vi byggde en helt ny typ av sandlåda.

Idag presenterar vi SPACE, en sandlådeplattform utformad för att frigöra Computers fulla potential samtidigt som den erbjuder högsta säkerhetsnivå för avancerade agentsystem.

Återuppfinner sandlådearitekturen

SPACE startar upp flyktiga sandlådor som bara lever så länge de behövs för att köra kod, interagera med filer eller utföra andra uppgifter. När uppgiften är klar förstörs sandlådan och allt som finns inuti den.

För långsiktigt arbete som behöver överleva omstart, omsluter SPACE varje sandlåda i en Session som kan pausas, återupptas eller delas upp i flera sandlådor. SPACE:s teknik för rullande ögonblicksbilder (snapshots) gör att kontexten kan färdas med arbetet, trots att ingen enskild sandlåda gör det.

Eliminerar tidigare avvägningar

De flesta sandlådeplattformar löser bara två av tre variabler: funktionalitet, effektivitet eller säkerhet. Att optimera för en tenderar att ske på bekostnad av en annan. Vissa lösningar har starka isoleringsprimitiv men lämnar inloggningsuppgifter exponerade i miljön. Andra utför kortlivade jobb väl, men förlorar tillstånd och misslyckas när en Session behöver köra i timmar.

SPACE löser alla tre genom att separera ansvarsområden över dedikerade tjänster. Network Gateway, Space Daemon och File Service skyddar varsin del av stacken. De levererar också inloggningsuppgifter från utsidan av sandlådan endast i det ögonblick de behövs.

Med denna design har en komprometterad agent som standard ingen väg till plattformshanterade inloggningsuppgifter. Och den har inte tillgång till mer än den uppgift den tilldelades, oavsett Sessionens varaktighet eller backend.

Skapar tre säkerhetslager

SPACE består av tre nyckellager, vart och ett med inbyggda starka säkerhetsåtgärder:

Control Plane: Det första lagret i SPACE:s arkitektur, Control Plane, ansvarar för att orkestrera sandlådans livscykler. Den tar emot varje förfrågan via ett enda API, spårar sandlådans tillstånd och avgör i realtid vilken backend som ska routas till. Den avgör när en uppgift behöver en ny sandlåda. Den avgör också när en uppgift är slutförd och dess motsvarande sandlåda kan förstöras. Eftersom Control Plane är tillståndslös och centralt värdad fungerar samma API-anrop på all befintlig infrastruktur, inklusive en lokal maskin.

Node-level Services: I SPACE är det vid Node-level Services som Perplexity säkerhetsställning sticker ut. Med SPACE passerar inloggningsuppgifter aldrig in i sandlådan. Istället skickas de inifrån sandlådan endast i det exakta ögonblick de behövs. När en agent behöver tillfällig åtkomst för att ansluta till ett Google-konto kan SPACE hantera inloggningsflödet utan att exponera inloggningsuppgifter inne i sandlådan. Utgående nätverkstrafik styrs också på nodnivå. En komprometterad agent kan inte nå något utanför sin tillåtna omfattning.

In-sandbox: In-sandbox-lagret är SPACE:s sista försvarslinje. Med SPACE körs varje uppgift i en Firecracker microVM, en fullständigt isolerad miljö med ett eget operativsystem. Det innebär att ingenting inuti kan påverka värden eller någon annan sandlåda som körs parallellt. Space Daemon är den enda processen som kommunicerar med Perplexity-kontrollplanet. Den bär operationella signaler som start-, paus- och ögonblicksbildskommandon (snapshot). Detta är vad som gör kommunikationskanalen granskningsbar och kontrollerbar.

Erbjuder en komplett uppsättning kontroller

SPACE är unik bland leverantörer genom att erbjuda en komplett uppsättning kontroller. SPACE kombinerar paus och återupptagning, Session-forcering, Session-specifik isolering av inloggningsuppgifter, protokollvidarebefordran och multi-backend-orkestrering i en enda plattform.

SPACE tar rullande ögonblicksbilder av hela Sessionens tillstånd och fångar upp levande minne tillsammans med filer så ofta som varje minut. Den kan gå tillbaka i tiden en vecka. Det är i thet anslaget en inbyggd tidsmaskin: Vem som helst kan gå iväg mitt i en uppgift, komma tillbaka en vecka senare, och agenten fortsätter exakt där den pausades.

SPACE behandlar sandlådan som otillförlitlig som standard och omger den med nätverkskontroller, behörighetskontroller, klientseparering och krypterad lagring. Om ett lager komprometteras skyddar de andra personlig information.

Med SPACE kan även företagskunder ta med sina egna krypteringsnycklar. Om en kund återkallar sin nyckel kan nya sandlådor inte starta och befintlig kundkrypterad data kan inte längre dekrypteras.

För dem som arbetar med särskilt känslig data är SPACE utformad för att fungera både on-prem och helt offline. Denna nivå av kontroll säkerställer att data aldrig behöver lämna en säker miljö.

Driver Perplexity

Perplexity-ingenjörer tog SPACE från koncept till produkt på 10 veckor. Vi har använt SPACE internt de senaste två månaderna. Under den senaste veckan har det stöttat miljoner skapade sandlådor och tiotals miljoner återanslutningar till sandlådor. Det är live i Computer för alla användare idag.

SPACE byggdes för att köras var som helst. I ett tidigt test på NVIDIA Vera CPU kördes faktiska Computer-liknande arbetsflöden ungefär 1,5x snabbare än vår nuvarande produktionsreferens, och startade samtidiga sandlådor upp till 1,9x snabbare. Denna tidiga signal visar att Vera kommer att leverera exceptionellt värde för agentsandlådor och bekräftar backend-agnosticismen bakom SPACE.

Investerar i säkra miljöer

Vi tror inte att det borde finnas en avvägning mellan funktionalitet, effektivitet och säkerhet. Agenter bör arbeta med samma data som vi, med samma förtroende som vi skulle placera i vilken medarbetare som helst.

SPACE är bara den första iterationen av denna säkra miljö. All eftersom AI fortsätter att utvecklas kommer våra säkerhets- och infrastruktursystem också att göra det.

Se Making SPACE: Secure and Efficient Runtimes for Long-Running Agents för mer information.