Sandbox bảo mật cho tác nhân

Các tác nhân AI thực hiện công việc thực tế thay mặt chúng ta: chỉnh sửa tệp, chạy mã và thực hiện các tác vụ nhiều bước trong nhiều giờ hoặc nhiều ngày. Điều này thường đòi hỏi quyền truy cập vào thông tin riêng tư, điều khiến nơi tác nhân chạy quan trọng hơn mức độ thông minh của mô hình.

Sandbox giữ cho các tác nhân an toàn, cho phép chúng truy cập các công cụ và tệp cần thiết để hoàn thành các tác vụ này, đồng thời bảo vệ thông tin nhạy cảm.

Khi xây dựng nền tảng tác nhân Computer của mình, chúng tôi đã khám phá các tùy chọn sandbox có sẵn. Mọi tùy chọn đều yêu cầu chúng tôi xem xét các sự đánh đổi giữa tính năng, hiệu suất và bảo mật. Perplexity Computer cần cả ba, vì vậy chúng tôi đã xây dựng một loại sandbox hoàn toàn mới.

Hôm nay, chúng tôi giới thiệu SPACE, một nền tảng sandbox được thiết kế để mở khóa toàn bộ sức mạnh của Computer đồng thời cung cấp mức độ bảo mật cao nhất cho các hệ thống tác nhân tiên tiến.

SPACE khởi chạy các sandbox tạm thời chỉ tồn tại trong thời gian cần thiết để chạy mã, tương tác với các tệp hoặc các tác vụ khác. Khi tác vụ kết thúc, sandbox và mọi thứ bên trong sẽ bị phá hủy.

Đối với công việc dài hạn cần duy trì qua các lần khởi động lại, SPACE bọc mỗi sandbox trong một phiên có thể tạm dừng, tiếp tục hoặc phân nhánh thành nhiều sandbox. Công nghệ ảnh chụp nhanh luân phiên của SPACE cho phép ngữ cảnh đi kèm với công việc, ngay cả khi không có sandbox riêng lẻ nào làm như vậy.

Hầu hết các nền tảng sandbox chỉ giải quyết hai trong số ba biến số: tính năng, hiệu suất hoặc bảo mật. Tối ưu hóa cho cái này thường đi kèm với việc đánh đổi cái khác. Một số giải pháp có các thành phần cách ly mạnh mẽ nhưng để lộ thông tin xác thực bên trong môi trường. Các giải pháp khác thực hiện các công việc ngắn hạn tốt, nhưng mất trạng thái và thất bại khi một phiên cần chạy trong nhiều giờ.

SPACE giải quyết cả ba bằng cách tách biệt các mối quan tâm trên các dịch vụ chuyên dụng. Network Gateway, Space Daemon và File Service mỗi dịch vụ bảo mật một phần khác nhau của ngăn xếp. Chúng cũng cung cấp thông tin xác thực từ bên ngoài sandbox chỉ tại thời điểm cần thiết.

Với thiết kế này, một tác nhân bị xâm phạm sẽ không có cách nào tiếp cận thông tin xác thực do nền tảng quản lý theo mặc định. Và nó không có quyền truy cập vượt quá tác vụ được giao, bất kể thời gian hay phần phụ trợ của phiên.

SPACE bao gồm ba lớp chính, mỗi lớp được tích hợp các biện pháp bảo mật mạnh mẽ:

Control Plane: Lớp đầu tiên trong kiến trúc của SPACE, Control Plane chịu trách nhiệm điều phối vòng đời của sandbox. Nó nhận mọi yêu cầu thông qua một API duy nhất, theo dõi trạng thái sandbox và quyết định trong thời gian thực phần phụ trợ nào cần định tuyến đến. Nó xác định khi nào một tác vụ cần một sandbox mới. Nó cũng quyết định khi nào một tác vụ hoàn thành và sandbox tương ứng có thể bị phá hủy. Do Control Plane không có trạng thái và được lưu trữ tập trung, cùng một lệnh gọi API hoạt động trên mọi cơ sở hạ tầng hiện có, bao gồm cả máy cục bộ.

Dịch vụ cấp nút: Trong SPACE, Dịch vụ cấp nút là nơi tư thế bảo mật của Perplexity nổi bật. Với SPACE, thông tin xác thực không bao giờ truyền vào sandbox. Thay vào đó, chúng được chuyển vào từ bên ngoài sandbox chỉ tại thời điểm chính xác chúng cần thiết. Khi một tác nhân cần quyền truy cập tạm thời để kết nối với Google Account, SPACE có thể xử lý luồng đăng nhập mà không làm lộ thông tin xác thực bên trong sandbox. Lưu lượng mạng đi cũng được kiểm soát ở cấp độ nút. Một tác nhân bị xâm phạm không thể tiếp cận bất kỳ thứ gì nằm ngoài phạm vi được phép của nó.

Trong sandbox: Lớp trong sandbox là tuyến phòng thủ cuối cùng của SPACE. Với SPACE, mỗi tác vụ chạy bên trong một microVM Firecracker, một môi trường hoàn toàn cô lập với hệ điều hành riêng của nó. Điều đó có nghĩa là không có gì bên trong có thể ảnh hưởng đến máy chủ lưu trữ hoặc bất kỳ sandbox nào khác đang chạy song song. Space Daemon là tiến trình duy nhất giao tiếp với Control Plane của Perplexity. Nó mang các tín hiệu hoạt động như lệnh bắt đầu, tạm dừng và ảnh chụp nhanh. Đây là điều làm cho kênh giao tiếp có thể kiểm toán và kiểm soát được.

SPACE là duy nhất trong số các nhà cung cấp khi cung cấp một bộ điều khiển đầy đủ. SPACE kết hợp tạm dừng và tiếp tục, phân nhánh phiên, cô lập thông tin xác thực theo phiên, chuyển tiếp giao thức và điều phối đa phần phụ trợ trong một nền tảng duy nhất.

SPACE chụp ảnh nhanh luân phiên toàn bộ trạng thái phiên, ghi lại bộ nhớ trực tiếp cùng với các tệp thường xuyên nhất là mỗi phút. Nó có thể quay ngược thời gian một tuần. Về cơ bản, đó là một cỗ máy thời gian tích hợp: Bất kỳ ai cũng có thể rời đi giữa chừng tác vụ, quay lại sau một tuần và tác nhân sẽ tiếp tục chính xác ở nơi nó tạm dừng.

SPACE coi sandbox là không đáng tin cậy theo mặc định và bao quanh nó bằng các biện pháp kiểm soát mạng, kiểm soát thông tin xác thực, tách biệt người thuê và bộ lưu trữ được mã hóa. Nếu một lớp bị xâm phạm, các lớp khác sẽ bảo vệ thông tin cá nhân.

Với SPACE, khách hàng doanh nghiệp cũng có thể mang theo khóa mã hóa của riêng họ. Nếu khách hàng thu hồi khóa của họ, các sandbox mới không thể khởi động và dữ liệu được mã hóa của khách hàng hiện có không còn có thể giải mã được nữa.

Đối với những người làm việc với dữ liệu cực kỳ nhạy cảm, SPACE được thiết kế để hoạt động cả trên cơ sở hạ tầng nội bộ (on-prem) và hoàn toàn ngoại tuyến. Mức độ kiểm soát này đảm bảo dữ liệu không bao giờ phải rời khỏi môi trường bảo mật.

Các kỹ sư của Perplexity đã đưa SPACE từ ý tưởng thành sản phẩm trong 10 tuần. Chúng tôi đã sử dụng SPACE nội bộ trong hai tháng qua. Trong tuần qua, nó đã hỗ trợ hàng triệu lượt tạo sandbox và hàng chục triệu lượt kết nối lại sandbox. Nó đã có sẵn trên Computer cho tất cả người dùng hôm nay.

SPACE được xây dựng để chạy ở mọi nơi. Trong một thử nghiệm ban đầu trên CPU NVIDIA Vera, các quy trình làm việc theo phong cách Computer thực tế chạy nhanh hơn khoảng 1,5 lần so với tham chiếu sản xuất hiện tại của chúng tôi và khởi động các sandbox đồng thời nhanh hơn tới 1,9 lần. Tín hiệu ban đầu này chứng minh rằng Vera sẽ mang lại giá trị đặc biệt cho các sandbox tác nhân và xác thực tính bất khả tri về phần phụ trợ đằng sau SPACE.

Chúng tôi tin rằng không nên có sự đánh đổi giữa tính năng, hiệu suất và bảo mật. Các tác nhân nên hoạt động trên cùng một dữ liệu như chúng ta, với sự tin tưởng giống như chúng ta dành cho bất kỳ đồng đội nào.

SPACE chỉ là phiên bản đầu tiên của môi trường bảo mật này. Khi AI tiếp tục phát triển, các hệ thống bảo mật và cơ sở hạ tầng của chúng tôi cũng sẽ vậy.

Xem Making SPACE: Secure and Efficient Runtimes for Long-Running Agents để biết thêm chi tiết.

Tái định hình kiến trúc sandbox

Loại bỏ các sự đánh đổi trước đây

Tạo ra ba lớp bảo mật

Cung cấp bộ điều khiển đầy đủ

Cung cấp sức mạnh cho Perplexity

Đầu tư vào môi trường bảo mật