Bảo mật tại Perplexity

Vào năm 2026, Perplexity đã thành lập Secure Intelligence Institute nhằm nâng cao tính bảo mật, quyền riêng tư và an toàn của các hệ thống trí tuệ tiên phong. Hợp tác với các đối tác học thuật và ngành hàng đầu, Viện theo đuổi nghiên cứu cơ bản và ứng dụng trong lĩnh vực bảo mật AI, chuyển hóa những tiến bộ đạt được thành các cải tiến cụ thể trong các hệ thống của Perplexity, đồng thời chia sẻ kiến thức và tài nguyên giúp củng cố hệ sinh thái AI rộng lớn hơn.

Tìm hiểu thêm về Secure Intelligence Institute tại đây.

Perplexity ưu tiên bảo vệ dữ liệu khách hàng như một yêu cầu kinh doanh cốt lõi. Nhận thức được mối đe dọa sống còn do các vụ vi phạm dữ liệu gây ra, chúng tôi đã triển khai các biện pháp nghiêm ngặt để bảo vệ thông tin nhạy cảm. Chính sách của chúng tôi nghiêm cấm việc lưu trữ dữ liệu khách hàng trên máy trạm, máy tính xách tay hoặc phương tiện lưu trữ di động của công ty, đảm bảo rằng tất cả dữ liệu đó chỉ được lưu trữ trong các môi trường sản xuất an toàn.

Để tăng cường bảo mật hơn nữa, Perplexity sử dụng AWS IAM để quản lý quyền truy cập vào môi trường sản xuất. Chúng tôi áp dụng xác thực Đăng nhập một lần (SSO) với Xác thực đa yếu tố (MFA) mạnh mẽ và thông tin xác thực phiên có thời hạn ngắn. Ngoài ra, chúng tôi thực thi kiểm soát truy cập Đúng lúc (JIT), chỉ cấp cho kỹ sư quyền truy cập tạm thời vào các tài nguyên nhạy cảm khi cần thiết, chẳng hạn như cho mục đích gỡ lỗi. Để duy trì các tiêu chuẩn bảo vệ dữ liệu cao nhất, các quyền truy cập được xem xét kỹ lưỡng ít nhất hai lần mỗi năm, đảm bảo các biện pháp bảo mật của chúng tôi luôn được cập nhật và hiệu quả.

Tại Perplexity, chúng tôi duy trì sự phân tách nghiêm ngặt giữa hạ tầng sản xuất và các môi trường khác như dàn dựng (staging) và kiểm thử.

Việc phân tách này đảm bảo cô lập dữ liệu, tối ưu hóa hiệu suất và tạo điều kiện thuận lợi cho việc kiểm thử bảo mật mà không gây rủi ro cho các dịch vụ đang hoạt động của chúng tôi. Chúng tôi đạt được điều này thông qua các tài khoản AWS riêng biệt, các cấu hình mạng riêng biệt và các kiểm soát truy cập theo từng môi trường.

Để tăng cường bảo mật, chúng tôi tận dụng các dịch vụ mạnh mẽ của Cloudflare. Mạng lưới toàn cầu của họ cung cấp khả năng bảo vệ DDoS toàn diện trước cả các cuộc tấn công ở tầng mạng và tầng ứng dụng. Chúng tôi cũng sử dụng Tường lửa Ứng dụng Web (WAF) của Cloudflare để phòng chống các lỗ hổng phổ biến, triển khai giới hạn tốc độ để ngăn chặn lạm dụng và đảm bảo tất cả lưu lượng truy cập được mã hóa bằng SSL/TLS.

Ngoài ra, chúng tôi sử dụng Wiz, một nền tảng bảo mật đám mây tiên tiến, để liên tục giám sát và đánh giá tính bảo mật của các môi trường đám mây của chúng tôi. Wiz cung cấp khả năng hiển thị theo thời gian thực về các lỗ hổng tiềm ẩn, cấu hình sai và rủi ro tuân thủ trên tất cả các môi trường, đảm bảo phát hiện và khắc phục mối đe dọa một cách chủ động.

Cách tiếp cận nhiều lớp này, kết hợp việc phân tách môi trường, các tính năng bảo mật của Cloudflare và khả năng giám sát nâng cao của Wiz, cho phép chúng tôi duy trì tính sẵn sàng cao, đảm bảo tính toàn vẹn của dữ liệu và cung cấp một nền tảng an toàn cho người dùng của chúng tôi.

Tại Perplexity, chúng tôi triển khai một chiến lược bảo mật điểm cuối mạnh mẽ để bảo vệ tổ chức và dữ liệu khách hàng của chúng tôi. Chúng tôi sử dụng Quản lý thiết bị di động (MDM) để thực thi các chính sách thiết bị an toàn trên tất cả các thiết bị thuộc sở hữu của công ty. Điều này cho phép chúng tôi triển khai các chính sách mật khẩu mạnh, mã hóa bộ nhớ thiết bị, kích hoạt khả năng xóa dữ liệu từ xa, thực thi cập nhật phần mềm thường xuyên và kiểm soát việc cài đặt ứng dụng. Các chính sách MDM của chúng tôi đảm bảo rằng tất cả các thiết bị truy cập tài nguyên của công ty đều đáp ứng các tiêu chuẩn bảo mật nghiêm ngặt của chúng tôi, giảm nguy cơ vi phạm dữ liệu thông qua các điểm cuối bị xâm phạm.

Để tăng cường hơn nữa vị thế bảo mật, chúng tôi đã triển khai các giải pháp Phát hiện và Phản hồi Điểm cuối (EDR) trên tất cả các máy được sử dụng trong tổ chức. Hệ thống EDR của chúng tôi cung cấp khả năng giám sát và phân tích hoạt động điểm cuối theo thời gian thực, phát hiện mối đe dọa nâng cao bằng phân tích hành vi và máy học, cùng khả năng ứng phó sự cố nhanh chóng. Hệ thống này cũng cho phép điều tra pháp y từ xa để điều tra và ngăn chặn các sự cố bảo mật tiềm ẩn.

Perplexity ưu tiên việc phát hiện và ứng phó mối đe dọa nhanh chóng bằng cách đầu tư vào giám sát, khả năng quan sát và cảnh báo nâng cao trên toàn bộ các môi trường sản xuất của chúng tôi. Chúng tôi tận dụng Panther SIEM để tổng hợp và phân tích các nguồn nhật ký quan trọng, bao gồm AWS CloudTrail, nhật ký ứng dụng và nhiều nguồn khác. Các nhật ký này cung cấp khả năng hiển thị toàn diện về hạ tầng của chúng tôi, cho phép chúng tôi nhanh chóng xác định hoạt động đáng ngờ và các mối đe dọa tiềm ẩn. Thông qua việc tạo ra và liên tục tinh chỉnh hàng trăm quy tắc phát hiện được tùy chỉnh, chúng tôi giám sát các dấu hiệu xâm phạm (IOC), hành vi bất thường và vi phạm chính sách. Cách tiếp cận chủ động này đảm bảo rằng chúng tôi có thể phát hiện ngay cả những dấu hiệu tinh vi của hoạt động độc hại.

Đội ngũ bảo mật của chúng tôi hoạt động 24/7/365 và cung cấp dịch vụ giám sát cùng ứng phó sự cố suốt ngày đêm. Đội ngũ tận dụng các quy trình tự động để phân loại cảnh báo và ứng phó với các sự cố tiềm ẩn một cách nhanh chóng và chính xác. Khi phát hiện mối đe dọa, các quy trình xử lý chi tiết của chúng tôi sẽ hướng dẫn việc ngăn chặn, khắc phục và phân tích sau sự cố, đảm bảo các mối đe dọa được vô hiệu hóa nhanh chóng với tác động tối thiểu.

Chúng tôi cam kết xây dựng mối quan hệ đối tác vững mạnh với cộng đồng nghiên cứu bảo mật. Ngoài việc thực hiện các cuộc kiểm thử xâm nhập hàng năm do bên thứ ba tiến hành, chúng tôi tích cực hợp tác với các nhà nghiên cứu thông qua chương trình Bug Bounty riêng tư trên BugCrowd và Chương trình Công bố Lỗ hổng công khai (VDP) của chúng tôi. Chúng tôi khuyến khích bạn xem lại VDP của chúng tôi để hiểu phạm vi của chương trình và tìm hiểu cách báo cáo các lỗ hổng tiềm ẩn.

Tại Perplexity, chúng tôi đánh giá các đơn vị xử lý dữ liệu phụ và nhà cung cấp bên thứ ba bằng một khung dựa trên rủi ro để đảm bảo các hoạt động về quyền riêng tư, bảo mật và bảo mật thông tin của họ phù hợp với cam kết của chúng tôi trong việc bảo vệ dữ liệu khách hàng và duy trì một dịch vụ có tính sẵn sàng cao.

Các nhà cung cấp được đánh giá hàng năm dựa trên các yếu tố như mức độ nhạy cảm của dữ liệu được xử lý, mức độ quan trọng của việc chúng tôi phụ thuộc vào dịch vụ của họ, và uy tín tổng thể của họ. Danh sách hiện tại các đơn vị xử lý dữ liệu phụ của chúng tôi có thể được tìm thấy trên Trust Center của chúng tôi.

Perplexity sử dụng phương pháp linh hoạt (agile) trong phát triển phần mềm và thực hiện đánh giá mã cùng kiểm thử kỹ lưỡng trước mỗi lần phát hành.

Chúng tôi tuân thủ các phương pháp hay nhất trong ngành, bao gồm phê duyệt PR bắt buộc, một bộ kiểm thử tích hợp và kiểm thử đơn vị, cùng các lần triển khai xem trước đến môi trường phi sản xuất để thực hiện kiểm thử QA thủ công.

Các nhà phát triển được đào tạo để tuân thủ các nguyên tắc lập trình an toàn và nắm rõ về 10 vấn đề hàng đầu của OWASP (OWASP Top 10). Mã nhạy cảm về bảo mật luôn được các chuyên gia trong lĩnh vực này đánh giá.