AIを安全に動かす仕組みを公開

Perplexityは、Perplexity Computerにおけるすべてのタスクの基盤となっているサンドボックスプラットフォーム「SPACE」をオープンソース化しました。Perplexity SPACEサンドボックスは、各エージェントタスクに専用のFirecracker microVMを提供します。認証情報と外部への通信は、そのVMの外部から制御されます。このコードはApache 2.0ライセンスのもと、GitHubで公開されています。コーディングエージェントやブラウジングエージェントを構築するチームにとって、これは本番環境でテスト済みの分離レイヤーであり、自社でホストすることができます。TL;DR サイズ: Rust codebase、リリース0.8.0、公開ベースライン。HTTP APIとserver-sent events。 Runs on: KVM、/dev/kvm、btrfs、Dockerを備えたLinux x86_64ホスト。Local Kind (Kubernetes)または直接モード。macOSでは動作しません。パフォーマンス: 本番環境では、以前のプロバイダーと比較して、VM作成の平均レイテンシが185ミリ秒から60ミリ秒に減少しました。最高の結果: 9つのフロンティアモデルで108回のVMからホストへの脱出試行のうち、成功は0回でした。最悪の結果: 修正前は、部分的なネットワーク実行54回のうち11回で、エージェントがegress policyを迂回しました。Perplexity SPACEとは: SPACE (Sandboxed Platform for Agentic Code Execution) は、隔離されたmicroVM内でエージェントコードを実行するためのPerplexityのプラットフォームです。アプリケーションはHTTP APIを呼び出してLinux環境を作成し、コマンドを実行し、出力をストリームします。テンプレートは初期ファイルシステムを提供します。サンドボックスはそのテンプレートの1つのインスタンスであり、独自のVMと書き込み可能なディスクを持ちます。1つのサンドボックス内で多くのコマンドを実行できます。Perplexityのローンチスレッドで設計目標が説明されています。エージェントはサンドボックス内でroot権限でコマンドを実行し、パッケージをインストールし、サービスを呼び出します。ホストはゲストの制御下に置かれません。エージェントの作業は長時間実行され、状態を持ち、分岐するため、再起動に耐える必要があります。SPACEはどのようにエージェントを隔離しますか？各サンドボックスは、独自のゲストカーネルを持つFirecracker microVMです。ホスト上のサンドボックスごとのネットワークゲートウェイは、すべての外部接続に対してegress policyを強制します。シークレットはゲストに決して入りません。Perplexityの7月のエンジニアリング投稿によると、認証情報はネットワーク層で注入されます。credential storeは階層的なスコープ、レート制限、監査ログを追加します。