Відкриваємо код SPACE — платформи пісочниць, на якій працює Computer

Від запуску Computer у лютому Perplexity стала одним із піонерів у сфері персональних агентів. Ми прагнемо розв’язувати складні проблеми керування агентами, виявляти небезпечну поведінку та запобігати некерованим діям агентів. У липні ми замінили комерційного постачальника пісочниць надійнішим і стійкішим власним рішенням, яке назвали SPACE.

SPACE забезпечує високий рівень безпеки для просунутих агентних систем. Зокрема, нещодавня серія інтенсивних тестів безпеки довела стійкість SPACE до методів обходу мережевих обмежень, подібних до тих, що використовувалися в інциденті з OpenAI/Hugging Face.

Сьогодні ми відкриваємо вихідний код SPACE, щоб дати розробникам основу для створення безпечніших агентних систем і зробити внесок у посилення захисту в усій галузі. Розробники можуть ознайомитися з репозиторієм тут.

Керування агентами — це інженерна задача, і відкритий код є ключовим для її розв’язання. Коли розробники мають системи, які можна перевіряти, адаптувати й розвивати, вони знаходять більше вразливостей і створюють кращі інструменти. Відкриття коду SPACE дає розробникам перевірену в реальній експлуатації основу для середовищ виконання агентів із вбудованою ізоляцією, відновленням стану, а також контролем облікових даних і мережі.

Створення основи для інших розробників

Пісочниці забезпечують безпеку агентів: вони надають доступ до інструментів і файлів, потрібних для виконання цих завдань, і водночас захищають конфіденційну інформацію.

Відкриття коду SPACE дає розробникам відправну точку для створення середовищ, у яких їхні агенти виконують код і працюють із файлами. Команди можуть побачити, як працює платформа пісочниць SPACE, і взяти її реалізацію за основу. Вони також можуть адаптувати її під свої потреби, а не відтворювати базову інфраструктуру з нуля.

У Computer SPACE підтримує ізольоване виконання коду, призупинення та відновлення роботи, відновлення після збоїв і розгалуження сеансів. Ці можливості закладають основу для асистентів, які могли б:

• Аналізувати дані: очищати електронну таблицю, виконувати обчислення та створювати діаграми в окремому робочому середовищі.
• Відновлювати роботу: призупиняти її, щоб хтось переглянув чернетку або надав відсутню інформацію, а потім продовжувати зі збереженими файлами та станом виконання.
• Досліджувати альтернативи: випробовувати два способи очищення набору даних в окремих копіях робочого середовища або відновлювати попередню версію файлу після помилки.

Ці приклади показують, як розробники могли б використовувати задокументовані засоби ізоляції та керування сеансами SPACE. Інженери платформ і безпеки також можуть ознайомитися з моделлю ізоляції та прикладами безпеки, перш ніж інтегрувати SPACE у власні системи.

Підвищення безпеки автономної роботи

Надаючи агентам більше свободи в розв’язанні завдань, ми маємо встановлювати чіткі обмеження щодо того, як вони це роблять. Ми знаємо, що агенти, які виконують легітимні завдання, усе одно можуть порушувати межі безпеки, намагаючись обійти проблеми з відсутніми файлами, невдалими запитами чи відмовами в доступі.

Ми можемо впроваджувати запобіжні механізми в модель, щоб знизити ймовірність небезпечної поведінки. Додавання незалежних засобів контролю в навколишній системі допомагає обмежити шкоду, якщо ці механізми не спрацюють. Вони обмежують те, до чого агент може отримати доступ, незалежно від того, що він вирішить зробити.

SPACE застосовує ці засоби контролю до окремого робочого середовища для коду й файлів, згенерованих агентами. Ми розробили його так, щоб поєднати ізоляцію, відновлення та ефективне виконання. Завдяки цьому агенти можуть виконувати корисну роботу впродовж тривалих сеансів, не покладаючись лише на те, що модель сама дотримуватиметься меж безпеки.

Робота у власній операційній системі

Кожна пісочниця SPACE працює всередині невеликої віртуальної машини з власною операційною системою, що створює межу ізоляції між роботою агента та хост-системою. Центральна площина керування координує, коли ці робочі середовища створюються, призупиняються, відновлюються або видаляються.

SPACE вважає пісочницю недовіреним середовищем і керує мережевим доступом та обліковими даними, що зберігаються на платформі, поза пісочницею. Агенти можуть підключатися до авторизованих сервісів, але ці облікові дані не зберігаються в їхньому робочому середовищі.

Часті знімки файлів і контрольні точки всього середовища виконання зберігають прогрес у разі переривань. Щоб ці операції залишалися ефективними, SPACE зберігає зміни, а не копіює щоразу середовища повністю. Це зменшує обсяг роботи, потрібної для створення, відновлення або розгалуження пісочниці.

Підвищення продуктивності в реальній експлуатації

З липня SPACE забезпечує роботу всіх сеансів Computer і щодня обробляє мільйони запитів на створення пісочниць. Під час порівняння на тому самому реальному трафіку пісочниці створювалися втричі–вп’ятеро швидше, ніж у нашого попереднього постачальника.

Ми також протестували SPACE за допомогою агентів, які навмисно намагалися подолати його межі. Згідно з нашою опублікованою оцінкою безпеки, жодна зі 108 спроб не дала змоги вийти з віртуальної машини на хост, однак деякі агенти знайшли способи обійти мережеві обмеження. Ми усунули ці вразливості, і під час повторного тестування жоден із двох виявлених методів атаки не спрацював.

Ми також повідомили постачальникам інших платформ пісочниць про виявлені в них схожі вразливості, поширивши цю роботу за межі нашої власної інфраструктури.

Внесок у безпечніший агентний ШІ

SPACE — частина ширших зусиль зі зміцнення систем, на які покладаються люди, оскільки ШІ бере на себе дедалі більше роботи. У межах Secure Intelligence Institute ми проводимо дослідження безпеки та співпрацюємо з ширшою спільнотою, перетворюючи результати на практичні засоби захисту.

Ми переконані, що відкриття коду інструментів безпеки дає розробникам більше способів тестувати засоби захисту, знаходити вразливості й створювати безпечніші системи ШІ. Ми поділилися інструментами, що охоплюють різні аспекти цієї роботи:

• BrowseSafe — модель і бенчмарк для виявлення шкідливих інструкцій, прихованих на вебсторінках.
• Numbat — набір інструментів безпеки з відкритим кодом, опублікований у липні, який допомагає виявляти й досліджувати небезпечну поведінку агентів на комп’ютерах і запобігати їй
• Bumblebee — сканер із відкритим кодом, опублікований у травні, який перевіряє комп’ютери розробників на наявність ризикованих програмних пакетів, розширень і конфігурацій інструментів ШІ

Відкритий доступ до цих інструментів дає іншим командам змогу перевіряти нашу роботу, адаптувати її під свої потреби та пропонувати вдосконалення. Із SPACE ми поширюємо цей підхід на середовища, у яких агенти виконують код і працюють із файлами.

Розгортання для агентних систем

Компанія Akamai протестувала й запустила SPACE на своїй хмарній платформі та співпрацює з Perplexity, щоб запропонувати його своїм клієнтам. Crusoe також об’єднує зусилля з Perplexity, щоб додати SPACE до свого портфеля Managed AI Services. Компанія CoreWeave опублікувала інструкції з налаштування для розробників, які хочуть розгорнути SPACE на CKS для оцінювання.

Щоб розгорнути SPACE для власних агентних систем, розробники можуть почати з інструкцій із налаштування та рекомендацій щодо безпеки. У репозиторії та документації описано підтримувані конфігурації та компоненти, що входять до складу.