Безпечні пісочниці для агентів

Агентні системи штучного інтелекту виконують реальну роботу від нашого імені: редагують файли, запускають код і виконують багатоетапні завдання протягом годин або днів. Для цього часто потрібен доступ до конфіденційної інформації, через що місце запуску агента важливіше за те, наскільки розумною є модель.

Пісочниці забезпечують безпеку агентів, надаючи їм доступ до інструментів і файлів, необхідних для виконання цих завдань, і водночас захищаючи чутливу інформацію.

Створюючи нашу платформну систему Computer, ми вивчали готові варіанти пісочниць. Кожен із них вимагав зважати на компроміси між функціональністю, ефективністю та безпекою. Perplexity Computer потребувала всіх трьох складових, тому ми розробили абсолютно новий тип пісочниці.

Сьогодні ми представляємо SPACE — платформу пісочниць, створену для того, щоб розкрити весь потенціал Computer і водночас забезпечити найвищий рівень безпеки для вдосконалених агентних систем.

Переосмислення архітектури пісочниць

SPACE створює ефемерні пісочниці, які існують лише стільки, скільки потрібно для запуску коду, взаємодії з файлами чи виконання інших завдань. Після завершення завдання пісочниця та все, що в ній міститься, знищуються.

Для тривалих завдань, які мають пережити перезапуски, SPACE загортає кожну пісочницю в сеанс, який можна призупинити, відновити або розгалузити на кілька пісочниць. Технологія безперервних знімків SPACE дозволяє контексту подорожувати разом із роботою, навіть якщо жодна окрема пісочниця цього не робить.

Усунення попередніх компромісів

Більшість платформ пісочниць вирішують лише дві з трьох змінних: функціональність, ефективність чи безпеку. Оптимізація однієї зазвичай відбувається за рахунок іншої. Деякі рішення мають потужні примітиви ізоляції, але залишають облікові дані відкритими всередині середовища. Інші добре виконують короткострокові завдання, але втрачають стан і дають збій, коли сеанс має працювати годинами.

SPACE вирішує всі три проблеми, розділяючи обов'язки між виділеними сервісами. Мережевий шлюз (Network Gateway), демон Space (Space Daemon) і файловий сервіс (File Service) захищають різні частини стека. Вони також доставляють облікові дані ззовні пісочниці лише в той момент, коли вони потрібні.

Завдяки такому дизайну зламаний агент за замовчуванням не має шляху до облікові даних, якими керує платформа. Крім того, він не має доступу за межі наданого йому завдання, незалежно від тривалості сеансу чи бекенду.

Створення трьох рівнів безпеки

SPACE складається з трьох ключових рівнів, кожен з яких має вбудовані надійні заходи безпеки:

Площина управління (Control Plane): Перший рівень архітектури SPACE, плоскості управління, відповідає за оркестрацію життєвого циклу пісочниці. Вона отримує кожен запит через єдиний API, відстежує стан пісочниці та в реальному часі визначає, на який бекенд спрямувати запит. Вона визначає, коли для завдання потрібна нова пісочниця. Вона також вирішує, коли завдання завершено і відповідну пісочницю можна знищити. Оскільки площина управління є бездержавною (stateless) та розміщується централізовано, той самий виклик API працює на будь-якій існуючій інфраструктурі, включно з локальним комп'ютером.

Сервіси на рівні вузлів: У SPACE сервіси на рівні вузлів є тим аспектом, де підхід Perplexity до безпеки вирізняється найбільше. Завдяки SPACE облікові дані ніколи не потрапляють всередину пісочниці. Натомість вони передаються ззовні пісочниці лише в точний момент, коли вони необхідні. Коли агенту потрібен тимчасовий доступ для підключення до облікового запису Google, SPACE може обробити процес входу без розкриття облікових даних усередині пісочниці. Вихідний мережевий трафік також контролюється на рівні вузла. Зламаний агент не зможе отримати доступ до нічого за межами дозволеної йому зони відповідальності.

Внутрішньопісочний рівень: Внутрішньопісочний рівень — це останній рубіж захисту SPACE. У SPACE кожне завдання виконується всередині мікроВМ Firecracker — повністю ізольованого середовища з власною операційною системою. Це означає, що ніщо всередині не може вплинути на хост або будь-яку іншу пісочницю, що працює паралельно. Демон Space (Space Daemon) є єдиним процесом, який взаємодіє з площиною управління Perplexity. Він передає робочі сигнали, такі як команди запуску, паузи та створення знімків. Саме це робить канал зв'язку контрольованим і придатним для аудитів.

Надання повного набору засобів контролю

SPACE є унікальною серед постачальників платформою, що пропонує повний набір засобів контролю. SPACE поєднує в собі паузу й відновлення, розгалуження сеансів, ізоляцію облікових даних для кожного сеансу, перенаправлення протоколів та оркестрацію кількох бекендів на єдиній платформі.

SPACE робить безперервні знімки всього стану сеансу, фіксуючи оперативну пам'ять разом із файлами так часто, як щохвилини. Вона може повернутися в минуле на тиждень. По суті, це вбудована машина часу: будь-хто може залишити роботу посеред завдання, повернутися за тиждень, і агент продовжить роботу саме там, де її було призупинено.

SPACE за замовчуванням вважає пісочницю ненадійною та оточує її засобами мережевого контролю, контролю облікових даних, ізоляції клієнтів (tenant separation) та зашифрованим сховищем. Якщо один рівень буде скомпрометовано, інші захистять особисту інформацію.

Завдяки SPACE корпоративні клієнти також можуть використовувати власні ключі шифрування. Якщо клієнт відкликає свій ключ, нові пісочниці не зможуть завантажитися, а наявні зашифровані клієнтом дані більше не можна буде розшифрувати.

Для тих, хто працює з особливо чутливими даними, SPACE створено так, щоб працювати як локально (on-prem), так і повністю в автономному режимі (offline). Такий рівень контролю гарантує, що дані ніколи не залишать захищене середовище.

Запуск Perplexity

Інженери Perplexity пройшли шлях від концепту SPACE до готового продукту за 10 тижнів. Ми використовуємо SPACE всередині компанії останні два місяці. Протягом останнього тижня вона забезпечила мільйони створень пісочниць та десятки мільйонів перепідключень до них. Сьогодні вона вже працює в Computer для всіх користувачів.

SPACE створено для запуску будь-де. Під час раннього тестування на CPU NVIDIA Vera робочі процеси у стилі Computer виконувалися приблизно в 1,5 раза швидше, ніж у нашому поточному виробничому еталонному середовищі, а паралельні пісочниці запускалися в 1,9 раза швидше. Цей ранній сигнал демонструє, що Vera забезпечить виняткову цінність для агентних пісочниць і підтверджує незалежність бекенду, закладену в SPACE.

Інвестиції в безпечні середовища

Ми переконані, що не повинно бути компромісу між функціональністю, ефективністю та безпекою. Агенти мають працювати з тими самими даними, що й ми, з такою ж довірою, яку ми б виявили до будь-кого з колег.

SPACE — це лише перша ітерація цього безпечного середовища. У міру розвитку ШІ наші системи безпеки та інфраструктури також еволюціонуватимуть.

Перегляньте статтю Створення SPACE: безпечні та ефективні середовища виконання для довготривалих агентів (Making SPACE: Secure and Efficient Runtimes for Long-Running Agents), щоб дізнатися більше.