開源 Computer 背後的沙箱平台 SPACE

自 2 月推出 Computer 以來，Perplexity 一直是個人 AI 代理程式領域的先驅。我們致力解決 AI 代理程式治理方面的難題，包括偵測不安全行為，以及防止失控的 AI 代理程式活動。7 月，我們以一個更穩健、更具韌性的內部解決方案取代了原本的商用沙箱供應商，並將其命名為 SPACE。

SPACE 為先進的代理式 AI 系統提供高度安全保障。事實上，近期連番的安全測試證明，SPACE 能抵禦網絡繞過技術，例如 OpenAI/Hugging Face 事件中所使用的技術。

今天，我們將 SPACE 開源，為開發人員提供建立更安全 AI 代理程式系統的基礎，並讓他們能為整個行業加強保護措施出一分力。開發人員可按此存取程式碼庫。

AI 代理程式治理是一個工程問題，而開源對解決這個問題至關重要。當開發人員擁有可以檢視、調整並在其基礎上開發的系統時，他們就能發現更多弱點，並開發出更好的工具。開源 SPACE 為開發人員提供一個經生產環境驗證的 AI 代理程式運行環境基礎，內建隔離、狀態復原，以及憑證和網絡控制功能。

為其他開發者奠定基礎

沙箱可確保 AI 代理程式的安全，讓它們存取完成這些任務所需的工具和檔案，同時保護敏感資訊。

開源 SPACE 為開發人員提供了一個起點，用於建構讓 AI 代理程式執行程式碼和處理檔案的環境。團隊可以了解 SPACE 沙箱平台的運作方式，並在其實作的基礎上進行開發，亦可按自身需要加以調整，而無需重新建立底層基礎設施。

在 Computer 中，SPACE 支援隔離式程式碼執行、暫停與恢復、復原，以及工作階段分支。這些功能為 AI 助理奠定基礎，讓它們可以：

• 分析數據：在獨立的工作空間中清理試算表、執行計算並建立圖表。
• 恢復工作：暫停以等待他人審閱草稿或提供缺少的資料，然後在保留檔案和運行狀態的情況下恢復工作。
• 探索替代方案：在工作空間的不同副本中測試兩種清理數據集的方法，或在出錯後還原較早版本的檔案。

這些例子說明了開發人員可如何使用 SPACE 文件中所述的隔離和工作階段控制功能。平台及安全工程師亦可在將 SPACE 整合到自己的系統前，先審視其隔離模型和安全範例。

提升自主工作的安全性

當我們給予 AI 代理程式更多解決問題的空間時，就需要為它們的做法設下清晰的界限。我們知道，即使 AI 代理程式在執行正當任務，當它們嘗試繞過檔案缺失、請求失敗或權限遭拒等問題時，仍可能越過安全邊界。

我們可以設置模型防護措施，以降低發生不安全行為的可能性。在周邊系統中加入獨立的控制措施，則有助在這些防護措施失效時控制損害。無論 AI 代理程式決定做甚麼，這些控制措施都會限制它可存取的範圍。

SPACE 將這些控制措施套用在一個獨立的工作空間上，專門用於處理 AI 代理程式生成的程式碼和檔案。我們在設計上結合了隔離、復原和高效執行，讓 AI 代理程式能在長時間的工作階段中完成有用的工作，而無需單靠模型自行遵守安全邊界。

在獨立的作業系統內運行

每個 SPACE 沙箱都在一部擁有獨立作業系統的小型虛擬機器內運行，在 AI 代理程式的工作與主機系統之間建立隔離邊界。中央控制平面負責協調這些工作空間何時建立、暫停、恢復或移除。

SPACE 將沙箱視為不受信任的環境，並在沙箱外管理網絡存取權和平台持有的憑證。AI 代理程式可以連接獲授權的服務，而這些憑證不會儲存在它們的工作環境中。

頻繁的檔案快照以及完整運行環境的檢查點，可在中斷時保存進度。為確保這些操作保持高效，SPACE 只會儲存變更，而非重複複製整個環境，從而減少建立、還原或分支沙箱所需的工作。

提升生產環境效能

自 7 月起，所有 Computer 工作階段均由 SPACE 驅動，每日處理數以百萬計的沙箱建立作業。在一項比較中，以相同的生產環境流量計算，沙箱建立速度比我們之前的供應商快三至五倍。

我們亦測試了 SPACE，讓 AI 代理程式刻意嘗試突破其邊界。我們發佈的安全評估顯示，在 108 次嘗試中，沒有一次能從虛擬機器逃逸至主機，但部分嘗試找到了繞過網絡限制的方法。我們已修正這些弱點，而在後續測試中，兩種已識別的攻擊方法均未能成功。

我們亦向其他沙箱平台的供應商披露了我們在這些平台上發現的相關弱點，將這項工作延伸至我們自身的基礎設施以外。

為更安全的代理式 AI 出一分力

隨著 AI 承擔更多工作，我們正更廣泛地致力加強人們所依賴的系統，而 SPACE 正是其中一環。透過 Secure Intelligence Institute，我們進行安全研究並與更廣大的社群合作，將研究結果轉化為實用的防禦措施。

我們相信，開源安全工具能讓開發人員有更多方法測試防禦措施、發現弱點，並建構更安全的 AI 系統。我們已分享多款工具，分別針對這項工作的不同層面：

• BrowseSafe：一個用於偵測隱藏在網頁中的惡意指示的模型及基準測試。
• Numbat：一套於 7 月開源的安全工具包，協助偵測、調查和防止 AI 代理程式在電腦上的危險行為
• Bumblebee：一款於 5 月開源的掃描工具，用於檢查開發人員電腦上有風險的軟件套件、擴充功能和 AI 工具設定

公開這些工具，讓其他團隊可以檢視我們的工作、按自身需要加以調整，並貢獻改進。透過 SPACE，我們將這種做法延伸至 AI 代理程式執行程式碼和處理檔案的環境。

為 AI 代理程式系統進行部署

Akamai 已在其雲端平台上測試並推出 SPACE，並正與 Perplexity 合作，將 SPACE 帶給旗下客戶。Crusoe 亦與 Perplexity 攜手，將 SPACE 加入其託管 AI 服務組合。CoreWeave 已發佈設定指南，供有意在 CKS 上部署 SPACE 作評估用途的開發人員參考。

開發人員可以先參考 SPACE 的設定說明和安全指引，將其部署到自己的 AI 代理程式系統。儲存庫和說明文件列明了支援的設定及所含元件。