Wie wir Sicherheit in Computer integriert haben

Perplexity Computer ist ein autonomer Agent, der Code schreibt und ausführt, das Internet durchsucht und eine Verbindung zu externen Diensten herstellt, um Aufgaben in Ihrem Auftrag zu erledigen.

Er basiert direkt auf der bestehenden Infrastruktur von Perplexity, die ihre SOC 2 Typ II-Attestierung für 2026 abgeschlossen hat, und erbt Perplexitys Unternehmenssicherheitsfunktionen wie SAML-SSO, Audit-Protokolle und granulare administrative Kontrollen.

Das Ausführen von Code und das Agieren auf Live-Diensten bringt neue Anforderungen mit sich. Dieser Beitrag beschreibt, was wir auf der ursprünglichen Grundlage aufgebaut haben, um die Sicherheit unserer Nutzer weiterhin zu gewährleisten: Sandbox-Isolierung, Konnektoren und Datenverarbeitung, Schutz vor Prompt-Injection sowie Unternehmens-Governance.

Sandbox-Isolierung

Das sichere Ausführen von Code erfordert eine Isolierung auf Hardware-Ebene. Jede Computer-Aufgabe läuft innerhalb einer Firecracker-microVM-Sandbox, die das Prinzip der minimalen Privilegien auf einem Niveau durchsetzt, das über die standardmäßige Betriebssystemsicherheit hinausgeht. Jede microVM startet ihren eigenen dedizierten Linux-Kernel mit einem minimalen Gerätemodell, das die Angriffsfläche reduziert.

Jede Sandbox ist in drei Dimensionen isoliert:

Dedizierter Kernel: Jede Sitzung erhält ihre eigene Linux-Kernel-Instanz.

Isoliertes Dateisystem: Jede VM verwendet ein isoliertes Dateisystem, das zurückgesetzt wird, wenn die Sitzung endet.

Privater Netzwerk-Namespace: Sandboxes verfügen über ein eigenes isoliertes Netzwerk mit dedizierten Firewall-Regeln.

Sandboxes halten bei Inaktivität automatisch an und werden nach einer gewissen Zeit der Untätigkeit gelöscht. Jede neue Sitzung beginnt im sauberen Zustand. Nur die für die aktuelle Aufgabe erforderlichen Anmeldedaten werden injiziert und zusammen mit der Sandbox gelöscht. Unter-Agenten verwenden kurzlebige Proxy-Token, die über ein authentifiziertes Gateway geleitet werden, anstatt rohe API-Schlüssel.

Wir trennen zudem die Datenspeicherung von der Codeausführung über Cloud-VPCs hinweg. Diese Trennung hilft, gespeicherte Benutzerdaten von der Ausführungsumgebung zu isolieren. Die gesamte Kommunikation zwischen beiden erfolgt verschlüsselt über HTTPS.

Konnektoren und Datenverarbeitung

Computer kann eine Verbindung zu externen Diensten herstellen, während der Zugriff begrenzt und die Datenverarbeitung kontrolliert bleibt. Administratoren können Konnektoren für die Organisation aktivieren oder deaktivieren, und einzelne Benutzer authentifizieren dann innerhalb von Computer die Dienste, die sie nutzen möchten.

Der Verbindungspfad hängt vom Konnektor ab. Integrierte Funktionen wie Google und Microsoft nutzen die Authentifizierungsabläufe der Anbieter, während benutzerdefinierte Remote-Konnektoren OAuth 2.0 oder unternehmensverwaltete API-Schlüssel-Authentifizierung unterstützen. Alle Konnektortypen sind darauf ausgelegt, nur die minimal erforderlichen Daten zur Erledigung der Aufgabe zu übertragen. Die Datenverarbeitung folgt demselben Kontrollmodell. Remote-Konnektoren müssen HTTPS verwenden, und Daten von Dateikonnektoren werden während der Übertragung und im Ruhezustand verschlüsselt. Unternehmensdaten wie Aufgabeneingaben, -ausgaben, Konnektordaten und Sandbox-Inhalte werden nicht für das Modelltraining verwendet. Dateianhänge von Unternehmen werden nach 7 Tagen gelöscht.

Schutz vor Prompt-Injection

Ein Agent, der das Internet durchsucht und externe Inhalte liest, ist anfällig für Prompt-Injection-Angriffe. Computer erbt und erweitert die Abwehrmechanismen, die wir ursprünglich für Comet entwickelt haben, einschließlich unserer vierstufigen Abwehrarchitektur und BrowseSafe, unserem Open-Source-Erkennungsmodell für die Sicherheit von Browser-Agenten. Diese Abwehrmechanismen wurden von Trail of Bits geprüft.

ML-Klassifizierer scannen von externen Quellen abgerufene Inhalte, bevor Computer darauf zugreift. Das Erkennungssystem läuft parallel zur Argumentations-Pipeline des Agenten und löst einen Sicherheitsstopp aus, wenn verdächtige Inhalte erkannt werden. Die Klassifizierer werden kontinuierlich auf Basis der Erkenntnisse aus unserem Bug-Bounty-Programm, Red-Team-Übungen und realen Erkennungsereignissen aktualisiert.

Über die Klassifizierung hinaus enthält jede Systemaufforderung eines Tools explizite Sicherheitsleitplanken. Externe Inhalte werden als nicht vertrauenswürdig gekennzeichnet, und das System bezieht bei der Auswahl und Ausführung von Tools kontinuierlich die ursprüngliche Benutzeranfrage ein.

Computer wendet bei der Verarbeitung nicht vertrauenswürdiger Inhalte zusätzliche Schutzmaßnahmen an, einschließlich strengerer Handhabung von Eingabeaufforderungen und Schutz auf Modellebene. Wenn Sie mehr darüber erfahren möchten, haben wir oben die entsprechenden Forschungsarbeiten und Sicherheitsbewertungen verlinkt.

Unternehmenskontrollen

Für Organisationen mit Perplexity Enterprise erhalten Administratoren zusätzliche Governance-Möglichkeiten für den Betrieb von Computer:

Audit-Protokolle: Administratoren können wichtige Ereignisse wie Benutzeranfragen, agentische Aktionen, Dateizugriffe und die Nutzung von Konnektoren protokollieren. Die Protokolle lassen sich in führende SIEM-Systeme wie Splunk, Azure Sentinel und Datadog integrieren, sodass Sicherheitsteams die Aktivitäten von Computer zusammen mit der bestehenden Infrastruktur-Telemetrie überwachen können.

Zugriffskontrollen: Administratoren können Computer vollständig deaktivieren oder nur für bestimmte Mitglieder aktivieren. Konnektoren von Drittanbietern, darunter Gmail, Outlook, Slack, GitHub, Notion, Snowflake, Databricks und Salesforce, können jeweils auf Organisationsebene aktiviert oder deaktiviert werden. Administratoren können auch einschränken, welche Modelle Computer verwenden darf.

Abrechnungskontrollen: Administratoren können Kreditlimits pro Platz festlegen, Zuweisungen für einzelne Benutzer überschreiben, Schwellenwerte für die automatische Aufladung und monatliche Limits konfigurieren oder festlegen, dass keine Credits über die enthaltene Platzzuweisung hinaus hinzugefügt werden können.

Vollständige Details finden Sie in unserem Trust Center oder in der Dokumentation zu Computer for Enterprise.