智能体安全沙盒

AI智能体正代表我们执行实际工作：编辑文件、运行代码，并耗时数小时或数天完成多步骤任务。这通常需要访问私有信息，因此相比模型本身的智能化程度，智能体运行的位置更为关键。

沙盒能够保障智能体的安全，使其在访问完成任务所需的工具和文件的同时，保护敏感信息不受侵害。

在构建我们的智能体平台Computer时，我们研究了现成的沙盒方案。每一个方案都要求我们在功能性、效率和安全性之间权衡。Perplexity Computer需要兼顾这三者，因此我们打造了一种全新的沙盒。

今天，我们推出SPACE，这是一个旨在释放Computer全部效能，同时为先进的智能体系统提供最高级别安全保障的沙盒平台。

重塑沙盒架构

SPACE可按需创建临时沙盒，其生命周期仅限于运行代码、处理文件或其他任务所需的时间。任务一旦完成，沙盒及其内部所有内容即被销毁。

对于需要支持重启的长期任务，SPACE将每个沙盒封装在会话中，该会话可以暂停、恢复或分支为多个沙盒。SPACE的滚动快照技术允许上下文随工作迁移，即使单个沙盒无法做到这一点。

消除以往的权衡

大多数沙盒平台只能解决功能性、效率或安全性三个变量中的两个。优化其中一个往往会以牺牲另一个为代价。一些解决方案拥有强大的隔离原语，但却使环境内的凭据暴露在外。另一些方案虽然能很好地执行短期任务，但在会话需要持续数小时时会丢失状态并运行失败。

SPACE通过在专用服务之间分离关注点，解决了这三个问题。网络网关（Network Gateway）、空间守护进程（Space Daemon）和文件服务（File Service）各自负责栈中不同部分的安全性。它们还仅在需要时才从沙盒外部提供凭据。

通过此项设计，受感染的智能体默认无法获取平台管理的凭据。无论会话的持续时间或后端如何，它都无法访问超出所授任务范围的内容。

打造三层安全防护

SPACE由三个关键层组成，每一层都内置了强大的安全措施：

控制平面（Control Plane）：作为SPACE架构的第一层，控制平面负责编排沙盒的生命周期。它通过单一API接收所有请求，跟踪沙盒状态，并实时决定路由至哪个后端。它确定任务何时需要新沙盒，并判定任务何时完成及其对应的沙盒何时可被销毁。由于控制平面是无状态且集中托管的，因此相同的API调用适用于任何现有基础设施，包括本地机器。

节点级服务（Node-level Services）：在SPACE中，节点级服务是Perplexity安全态势的卓越之处。有了SPACE，凭据绝不会进入沙盒。相反，它们仅在需要的那一刻从沙盒外部传入。当智能体需要临时访问以连接Google账户时，SPACE可以在不将凭据暴露在沙盒内部的情况下处理登录流程。出站网络流量也在节点级进行控制。受感染的智能体无法访问其许可范围之外的任何内容。

沙盒内层（In-sandbox）：沙盒内层是SPACE的最后一道防线。在SPACE中，每个任务都在Firecracker microVM内运行，这是一个拥有独立操作系统的完全隔离环境。这意味着内部的任何内容都无法影响主机或任何并行运行的其他沙盒。空间守护进程（Space Daemon）是唯一与Perplexity控制平面通信的进程。它承载启动、暂停和快照命令等操作信号。这使得通信通道变得可审计且可控。

提供全方位的控制能力

SPACE在提供全方位控制能力方面在供应商中独树一帜。SPACE在一个平台上结合了暂停与恢复、会话分叉、按会话凭据隔离、协议转发和多后端编排。

SPACE对完整会话状态进行滚动快照，捕获实时内存和文件，频率可达每分钟一次。它可以追溯到一周前。这本质上是一个内置的时间机器：任何人可以在任务中途离开，一周后回来，智能体将准确地从暂停处继续执行。

SPACE默认将沙盒视为不可信，并辅以网络控制、凭据控制、租户隔离和加密存储。如果一层受到威胁，其他层仍将保护个人信息。

通过SPACE，企业客户还可以自带加密密钥。如果客户撤销其密钥，新的沙盒将无法启动，且现有的客户加密数据将无法再被解密。

对于处理特别敏感数据的用户，SPACE被设计为既可用于本地部署，也可在完全离线环境下工作。这种级别的控制确保数据无需离开安全环境。

赋能Perplexity

Perplexity工程师在10周内将SPACE从概念转化为产品。在过去两个月里，我们一直在内部使用SPACE。上周，它支持了数百万次沙盒创建和数千万次沙盒重连。目前，它已在Computer中对所有用户开放。

SPACE专为随处运行而构建。在NVIDIA Vera CPU的早期测试中，实际的Computer类工作流的运行速度比我们目前的生产参考标准快约1.5倍，启动并发沙盒的速度快达1.9倍。这一早期信号表明，Vera将为智能体沙盒提供卓越的价值，并验证了SPACE背后的后端无关性。

投资于安全环境

我们坚信，功能性、效率和安全性之间不应存在权衡。智能体应该像我们一样处理相同的数据，并获得我们赋予任何团队成员同样的信任。

SPACE仅仅是此安全环境的第一次迭代。随着人工智能的不断演进，我们的安全和基础设施系统也将随之进步。

查看打造SPACE：为长期运行的智能体提供安全高效的运行时以了解更多详情。