แซนด์บ็อกซ์ที่ปลอดภัยสำหรับเอเจนต์

เอเจนต์ AI ทำงานจริงในนามของเรา: แก้ไขไฟล์ รันโค้ด และดำเนินงานหลายขั้นตอนเป็นเวลาหลายชั่วโมงหรือหลายวัน ซึ่งมักจะต้องเข้าถึงข้อมูลส่วนตัว ทำให้ สถานที่ ที่เอเจนต์รันมีความสำคัญมากกว่าความฉลาดของโมเดล

แซนด์บ็อกซ์ช่วยรักษาความปลอดภัยให้แก่เอเจนต์ ช่วยให้เข้าถึงเครื่องมือและไฟล์ที่จำเป็นในการทำงานเหล่านี้ให้เสร็จสิ้น พร้อมทั้งปกป้องข้อมูลที่มีความละเอียดอ่อน

ในตอนที่เราสร้างแพลตฟอร์มเอเจนต์ Computer เราได้สำรวจตัวเลือกแซนด์บ็อกซ์สำเร็จรูปที่มีอยู่ ทุกตัวเลือกกำหนดให้เราต้องพิจารณาข้อแลกเปลี่ยนระหว่างฟังก์ชันการทำงาน ประสิทธิภาพ และความปลอดภัย Perplexity Computer ต้องการทั้งสามอย่าง เราจึงสร้างแซนด์บ็อกซ์ประเภทใหม่ขึ้นมาทั้งหมด

วันนี้ เราขอแนะนำ SPACE แพลตฟอร์มแซนด์บ็อกซ์ที่ออกแบบมาเพื่อปลดล็อกศักยภาพสูงสุดของ Computer พร้อมทั้งมอบความปลอดภัยระดับสูงสุดให้กับระบบเอเจนต์ขั้นสูง

SPACE สร้างแซนด์บ็อกซ์ชั่วคราวที่มีอายุเท่าที่จำเป็นสำหรับการรันโค้ด โต้ตอบกับไฟล์ หรือทำงานอื่นๆ เมื่อทำงานเสร็จ แซนด์บ็อกซ์และทุกอย่างที่อยู่ภายในจะถูกทำลาย

สำหรับงานระยะยาวที่ต้องอยู่รอดผ่านการรีสตาร์ท SPACE จะห่อหุ้มแซนด์บ็อกซ์แต่ละรายการไว้ในเซสชันที่สามารถหยุดชั่วคราว ดำเนินการต่อ หรือแตกแขนงออกเป็นแซนด์บ็อกซ์หลายรายการได้ เทคโนโลยีโรลลิ่งสแนปชอตของ SPACE ช่วยให้บริบทเดินทางไปพร้อมกับการทำงานได้ แม้ว่าจะไม่มีแซนด์บ็อกซ์ส่วนบุคคลใดทำเช่นนั้นก็ตาม

แพลตฟอร์มแซนด์บ็อกซ์ส่วนใหญ่แก้ปัญหาได้เพียงสองในสามตัวแปร ได้แก่ ฟังก์ชันการทำงาน ประสิทธิภาพ หรือความปลอดภัย การปรับแต่งอย่างใดอย่างหนึ่งมักจะต้องแลกมาด้วยอีกอย่างหนึ่ง โซลูชันบางตัวมีพริมิทิฟการแยกส่วนที่แข็งแกร่ง แต่ปล่อยให้ข้อมูลรับรองเปิดเผยอยู่ภายในสภาพแวดล้อม ในขณะที่ตัวอื่นๆ ทำงานระยะสั้นได้ดี แต่สูญเสียสถานะและล้มเหลวเมื่อจำเป็นต้องรันเซสชันเป็นเวลาหลายชั่วโมง

SPACE แก้ไขปัญหาทั้งสามข้อโดยแยกความรับผิดชอบไปยังบริการเฉพาะทาง Network Gateway, Space Daemon และ File Service จะรักษาความปลอดภัยให้กับส่วนต่างๆ ของสแตก นอกจากนี้ยังส่งมอบข้อมูลรับรองจากภายนอกแซนด์บ็อกซ์เฉพาะในเวลาที่จำเป็นเท่านั้น

ด้วยการออกแบบนี้ เอเจนต์ที่ถูกบุกรุกจึงไม่มีเส้นทางเข้าถึงข้อมูลรับรองที่จัดการโดยแพลตฟอร์มโดยค่าเริ่มต้น และไม่มีสิทธิ์เข้าถึงเกินกว่างานที่ได้รับมอบหมาย โดยไม่คำนึงถึงระยะเวลาหรือแบ็กเอนด์ของเซสชัน

SPACE ประกอบด้วยชั้นสำคัญสามชั้น ซึ่งแต่ละชั้นมีมาตรการรักษาความปลอดภัยที่แข็งแกร่งในตัว:

Control Plane: ชั้นแรกของสถาปัตยกรรมของ SPACE โดย Control Plane มีหน้าที่ประสานการทำงานของวงจรชีวิตแซนด์บ็อกซ์ ทำหน้าที่รับทุกคำขอผ่าน API เดียว ติดตามสถานะแซนด์บ็อกซ์ และตัดสินใจแบบเรียลไทม์ว่าจะกำหนดเส้นทางไปยังแบ็กเอนด์ใด เป็นตัวกำหนดว่าเมื่อใดที่งานต้องการแซนด์บ็อกซ์ใหม่ และยังตัดสินใจว่าเมื่อใดที่งานเสร็จสมบูรณ์และสามารถทำลายแซนด์บ็อกซ์ที่สอดคล้องกันได้ เนื่องจาก Control Plane ไม่มีสถานะ (stateless) และโฮสต์อยู่ส่วนกลาง การเรียก API แบบเดียวกันจึงใช้งานได้กับโครงสร้างพื้นฐานที่มีอยู่ รวมถึงเครื่องภายใน

Node-level Services: ใน SPACE บริการระดับโหนดคือจุดที่ท่าทีด้านความปลอดภัยของ Perplexityโดดเด่น ด้วย SPACE ข้อมูลรับรองจะไม่ส่งผ่านเข้าไปในแซนด์บ็อกซ์ แต่จะถูกส่งเข้ามาจากภายนอกแซนด์บ็อกซ์เฉพาะในวินาทีที่ต้องการใช้งาน เมื่อเอเจนต์ต้องการสิทธิ์เข้าถึงชั่วคราวเพื่อเชื่อมต่อกับ Google Account ทาง SPACE สามารถจัดการขั้นตอนการลงชื่อเข้าใช้ได้โดยไม่ต้องเปิดเผยข้อมูลรับรองภายในแซนด์บ็อกซ์ ทราฟฟิกเครือข่ายขาออกยังถูกควบคุมในระดับโหนดด้วย เอเจนต์ที่ถูกบุกรุกจะไม่สามารถเข้าถึงสิ่งใดๆ นอกเหนือขอบเขตที่ได้รับอนุญาต

In-sandbox: ชั้นในแซนด์บ็อกซ์คือแนวป้องกันสุดท้ายของ SPACE โดยใน SPACE งานแต่ละงานจะรันภายใน Firecracker microVM ซึ่งเป็นสภาพแวดล้อมที่แยกส่วนอย่างสมบูรณ์พร้อมระบบปฏิบัติการของตัวเอง นั่นหมายความว่าไม่มีสิ่งใดข้างในสามารถส่งผลกระทบต่อโฮสต์หรือแซนด์บ็อกซ์อื่นๆ ที่รันอยู่ขนานกันได้ Space Daemon เป็นกระบวนการเดียวที่สื่อสารกับ Control plane ของ Perplexity โดยทำหน้าที่ส่งสัญญาณการดำเนินงาน เช่น คำสั่งเริ่ม หยุดชั่วคราว และสแนปชอต นี่คือสิ่งที่ทำให้ช่องทางการสื่อสารสามารถตรวจสอบและควบคุมได้

SPACE มีความโดดเด่นในกลุ่มผู้ให้บริการในการนำเสนอชุดการควบคุมที่ครบถ้วน SPACE รวมการหยุดชั่วคราวและการดำเนินการต่อ การแตกแขนงเซสชัน การแยกข้อมูลรับรองต่อเซสชัน การส่งต่อโปรโตคอล และการประสานการทำงานแบบหลายแบ็กเอนด์ไว้ในแพลตฟอร์มเดียว

SPACE ถ่ายภาพสแนปชอตแบบโรลลิ่งของสถานะเซสชันทั้งหมด โดยบันทึกหน่วยความจำสดพร้อมกับไฟล์บ่อยทุกนาที สามารถย้อนเวลากลับไปได้หนึ่งสัปดาห์ ซึ่งโดยพื้นฐานแล้วคือไทม์แมชชีนในตัว: ใครก็ตามสามารถเดินออกไปกลางคัน กลับมาในอีกหนึ่งสัปดาห์ต่อมา และเอเจนต์จะทำงานต่อตรงจุดที่หยุดไว้พอดี

SPACE มองว่าแซนด์บ็อกซ์ไม่น่าไว้วางใจโดยค่าเริ่มต้น และล้อมรอบด้วยการควบคุมเครือข่าย การควบคุมข้อมูลรับรอง การแยกผู้เช่า และพื้นที่จัดเก็บข้อมูลที่เข้ารหัส หากชั้นหนึ่งถูกบุกรุก ชั้นอื่นๆ จะปกป้องข้อมูลส่วนบุคคล

ด้วย SPACE ลูกค้าองค์กรยังสามารถนำคีย์การเข้ารหัสของตนเองมาใช้ได้ หากลูกค้าเพิกถอนคีย์ของตน แซนด์บ็อกซ์ใหม่จะไม่สามารถบูตได้ และข้อมูลที่เข้ารหัสของลูกค้าที่มีอยู่จะไม่สามารถถอดรหัสได้อีกต่อไป

สำหรับผู้ที่ทำงานกับข้อมูลที่มีความละเอียดอ่อนเป็นพิเศษ SPACE ถูกออกแบบมาให้ทำงานได้ทั้งแบบ on-prem และแบบออฟไลน์เต็มรูปแบบ ระดับการควบคุมนี้ช่วยให้มั่นใจได้ว่าข้อมูลไม่ต้องออกจากสภาพแวดล้อมที่ปลอดภัย

วิศวกรของ Perplexity นำ SPACE จากแนวคิดสู่ผลิตภัณฑ์ภายใน 10 สัปดาห์ เราใช้งาน SPACE ภายในมาเป็นเวลาสองเดือนที่ผ่านมา ในช่วงสัปดาห์ที่ผ่านมา ระบบได้รองรับการสร้างแซนด์บ็อกซ์นับล้านครั้งและการเชื่อมต่อแซนด์บ็อกซ์ใหม่นับสิบล้านครั้ง เปิดให้บริการใช้งานจริงใน Computer สำหรับผู้ใช้ทุกคนแล้ววันนี้

SPACE ถูกสร้างขึ้นมาให้รันได้ทุกที่ ในการทดสอบเบื้องต้นบน CPU ของ NVIDIA Vera เวิร์กโฟลว์รูปแบบ Computer จริงรันเร็วกว่าข้อมูลอ้างอิงการผลิตปัจจุบันของเราประมาณ 1.5 เท่า และเริ่มแซนด์บ็อกซ์พร้อมกันเร็วขึ้นสูงสุด 1.9 เท่า สัญญาณเบื้องต้นนี้แสดงให้เห็นว่า Vera จะส่งมอบมูลค่าพิเศษสำหรับแซนด์บ็อกซ์เอเจนต์ และยืนยันความสามารถในการไม่จำกัดแบ็กเอนด์ของ SPACE

เราเชื่อว่าไม่ควรมีข้อแลกเปลี่ยนระหว่างฟังก์ชันการทำงาน ประสิทธิภาพ และความปลอดภัย เอเจนต์ควรทำงานข้ามข้อมูลเดียวกับที่เราทำ ด้วยความไว้วางใจเดียวกับที่เรามอบให้เพื่อนร่วมทีม

SPACE เป็นเพียงการวนซ้ำครั้งแรกของสภาพแวดล้อมที่ปลอดภัยนี้ ในขณะที่ AI พัฒนาอย่างต่อเนื่อง ระบบรักษาความปลอดภัยและโครงสร้างพื้นฐานของเราก็จะพัฒนาตามไปด้วยเช่นกัน

ดู Making SPACE: Secure and Efficient Runtimes for Long-Running Agents สำหรับรายละเอียดเพิ่มเติม

การสร้างสถาปัตยกรรมแซนด์บ็อกซ์ขึ้นใหม่

การขจัดข้อแลกเปลี่ยนแบบเดิมๆ

การสร้างชั้นความปลอดภัยสามชั้น

การนำเสนอชุดการควบคุมที่ครบถ้วน

ขับเคลื่อน Perplexity

การลงทุนในสภาพแวดล้อมที่ปลอดภัย