Безпека в Perplexity

У 2026 році Perplexity заснувала Secure Intelligence Institute для підвищення безпеки, приватності та надійності передових інтелектуальних систем. У співпраці з провідними академічними та галузевими партнерами Інститут проводить фундаментальні й прикладні дослідження у сфері безпеки ШІ, втілює отримані досягнення в конкретні вдосконалення систем Perplexity та ділиться знаннями й ресурсами, що допомагають зміцнювати ширшу екосистему ШІ.

Дізнайтеся більше про Secure Intelligence Institute тут.

Perplexity вважає захист даних клієнтів фундаментальним бізнес-імперативом. Усвідомлюючи екзистенційну загрозу, яку становлять витоки даних, ми впровадили суворі заходи для захисту конфіденційної інформації. Наша політика суворо забороняє зберігання даних клієнтів на робочих станціях, ноутбуках чи знімних носіях компанії, гарантуючи, що всі такі дані розміщуються виключно в захищених робочих середовищах.

Щоб додатково посилити безпеку, Perplexity використовує AWS IAM для керування доступом до нашого робочого середовища. Ми застосовуємо автентифікацію через єдиний вхід (SSO) із надійною багатофакторною автентифікацією (MFA) та обліковими даними сеансів із коротким терміном дії. Крім того, ми впроваджуємо контроль доступу за принципом Just-In-Time (JIT), надаючи інженерам тимчасовий доступ до чутливих ресурсів лише за потреби, наприклад для налагодження. Щоб підтримувати найвищі стандарти захисту даних, права доступу ретельно переглядаються щонайменше двічі на рік, гарантуючи, що наші заходи безпеки залишаються актуальними та ефективними.

У Perplexity ми підтримуємо суворе розмежування між нашою робочою інфраструктурою та іншими середовищами, як-от проміжне (staging) і тестове.

Таке розмежування забезпечує ізоляцію даних, оптимізує продуктивність і полегшує тестування безпеки без ризику для наших робочих сервісів. Ми досягаємо цього завдяки окремим обліковим записам AWS, окремим мережевим конфігураціям і контролю доступу, специфічному для кожного середовища.

Для додаткової безпеки ми користуємося надійними сервісами Cloudflare. Їхня глобальна мережа забезпечує комплексний захист від DDoS-атак як на мережевому рівні, так і на рівні застосунків. Ми також використовуємо брандмауер вебзастосунків (WAF) від Cloudflare для захисту від поширених вразливостей, впроваджуємо обмеження частоти запитів для запобігання зловживанням і гарантуємо, що весь трафік шифрується за допомогою SSL/TLS.

Крім того, ми використовуємо Wiz — передову платформу хмарної безпеки — для безперервного моніторингу та оцінювання безпеки наших хмарних середовищ. Wiz забезпечує видимість у реальному часі щодо потенційних вразливостей, неправильних конфігурацій і ризиків відповідності в усіх середовищах, гарантуючи проактивне виявлення й усунення загроз.

Цей багаторівневий підхід, що поєднує розмежування середовищ, функції безпеки Cloudflare та розширені можливості моніторингу Wiz, дає нам змогу підтримувати високу доступність, забезпечувати цілісність даних і надавати захищену платформу для наших користувачів.

У Perplexity ми впроваджуємо надійну стратегію безпеки кінцевих точок для захисту нашої організації та даних клієнтів. Ми використовуємо систему керування мобільними пристроями (MDM) для застосування політик безпеки на всіх пристроях, що належать компанії. Це дає нам змогу впроваджувати надійні політики паролів, шифрувати сховище пристроїв, вмикати функції віддаленого стирання даних, забезпечувати регулярні оновлення програмного забезпечення та контролювати встановлення застосунків. Наші політики MDM гарантують, що всі пристрої, які отримують доступ до ресурсів компанії, відповідають нашим суворим стандартам безпеки, зменшуючи ризик витоків даних через скомпрометовані кінцеві точки.

Щоб додатково посилити наш рівень безпеки, ми впровадили рішення Endpoint Detection and Response (EDR) на всіх пристроях, що використовуються в нашій організації. Наша система EDR забезпечує моніторинг та аналіз активності кінцевих точок у реальному часі, розширене виявлення загроз за допомогою поведінкового аналізу й машинного навчання, а також можливості швидкого реагування на інциденти. Вона також уможливлює віддалену цифрову криміналістику для розслідування та стримування потенційних інцидентів безпеки.

Perplexity надає пріоритет швидкому виявленню загроз і реагуванню на них, інвестуючи в розширений моніторинг, спостережуваність і сповіщення в наших робочих середовищах. Ми використовуємо Panther SIEM для агрегування й аналізу критично важливих джерел логів, зокрема AWS CloudTrail, логів застосунків та інших. Ці логи забезпечують всебічну видимість нашої інфраструктури, даючи нам змогу швидко виявляти підозрілу активність і потенційні загрози. Завдяки створенню та безперервному вдосконаленню сотень спеціально розроблених правил виявлення ми відстежуємо індикатори компрометації (IOC), аномальну поведінку та порушення політик. Такий проактивний підхід гарантує, що ми можемо виявити навіть ледь помітні ознаки зловмисної активності.

Наша команда безпеки доступна 24/7/365 і забезпечує цілодобовий моніторинг та реагування на інциденти. Команда використовує автоматизовані робочі процеси для сортування сповіщень і швидкого та точного реагування на потенційні інциденти. У разі виявлення загрози наші докладні сценарії реагування спрямовують локалізацію, усунення наслідків та аналіз після інциденту, гарантуючи швидку нейтралізацію загроз із мінімальним впливом.

Ми прагнемо будувати міцне партнерство зі спільнотою дослідників безпеки. Окрім проведення щорічних тестів на проникнення силами сторонніх фахівців, ми активно співпрацюємо з дослідниками через нашу приватну програму Bug Bounty на BugCrowd та нашу публічну програму розкриття вразливостей (VDP). Ми заохочуємо вас ознайомитися з нашою VDP, щоб зрозуміти її обсяг і дізнатися, як повідомляти про потенційні вразливості.

У Perplexity ми оцінюємо сторонніх субпроцесорів і постачальників за допомогою підходу на основі оцінки ризиків, щоб переконатися, що їхні практики щодо приватності, безпеки та конфіденційності відповідають нашому зобов’язанню захищати дані клієнтів і підтримувати високу доступність сервісу.

Постачальники проходять щорічну перевірку на основі таких факторів, як чутливість оброблюваних даних, критичність нашої залежності від їхніх послуг та їхня загальна репутація. Актуальний перелік наших субпроцесорів можна знайти в нашому Trust Center.

Perplexity застосовує гнучку методологію (agile) для розробки програмного забезпечення та проводить ґрунтовні перевірки коду й тестування перед кожним випуском.

Ми дотримуємося галузевих найкращих практик, які включають обов’язкове погодження PR, набір інтеграційних і модульних тестів та попередні розгортання в неробочих середовищах для ручного контролю якості (QA).

Розробники навчені дотримуватися рекомендацій із безпечного програмування та обізнані з проблемами OWASP Top 10. Код, чутливий до безпеки, завжди перевіряється профільними експертами.