Computerへのセキュリティ実装について

Perplexity Computerは、自律型エージェントとしてコードの記述と実行、ウェブブラウジングを行い、外部サービスと連携してお客様の代わりにタスクを完了します。

本製品はPerplexityの既存インフラストラクチャ上に直接構築されており、2026年SOC 2 Type II認証を取得済みです。また、SAML SSO、監査ログ、粒度の高い管理制御など、Perplexityのエンタープライズ向けセキュリティ機能を継承しています。

コードの実行やライブサービス上での操作には、新たな要件が求められます。本稿では、ユーザーの安全を継続的に保護するために、既存の基盤の上に構築した以下の仕組みについて解説します：サンドボックス分離、コネクタおよびデータ処理、プロンプトインジェクション防御、そしてエンタープライズガバナンスです。

コードを安全に実行するには、ハードウェアレベルの分離が必要です。すべてのComputerタスクはFirecracker microVMサンドボックス内で実行され、標準的なオペレーティングシステムのセキュリティを超えたレベルで最小権限の原則が適用されます。各microVMは独自のLinuxカーネルを起動し、最小限のデバイスモデルを用いることで攻撃対象領域を縮小しています。

各サンドボックスは、以下の3つの側面で分離されています：

専用カーネル：各セッションは独自のLinuxカーネルインスタンスを取得します。

分離されたファイルシステム：各VMは、セッション終了時にリセットされる分離されたファイルシステムを使用します。

プライベートネットワークネームスペース：サンドボックスは、専用のファイアウォール規則を備えた独自の分離されたネットワークを持ちます。

サンドボックスはアイドル状態になると自動的に一時停止し、一定の非アクティブ期間が経過すると破棄されます。新しいセッションは常にクリーンな状態から開始されます。現在のタスクに必要な認証情報のみが注入され、サンドボックスの終了とともに破棄されます。サブエージェントは、生のAPIキーではなく、認証済みゲートウェイを経由した短命なプロキシトークンを使用します。

また、クラウドのVPC間でデータストレージとコード実行を分離しています。この分離により、保存されたユーザーデータと実行環境が隔離されます。両者間のすべての通信は、暗号化されたHTTPSを介して行われます。

Computerは、アクセス範囲を限定し、データ処理を制御しつつ外部サービスと連携可能です。管理者は組織単位でコネクタの有効化・無効化を制御でき、個々のユーザーはComputer内で利用したいサービスに対して認証を行います。

接続経路はコネクタによって異なります。GoogleやMicrosoftなどの組み込みインテグレーションはプロバイダーの認証フローを使用し、カスタムリモートコネクタはOAuth 2.0やエンタープライズ管理のAPIキー認証をサポートします。すべてのコネクタタイプは、タスク完了に必要な最小限のデータのみを送信するように設計されています。データ処理も同様の制御モデルに従います。リモートカスタムコネクタはHTTPSの使用が必須であり、ファイルコネクタのデータは転送時および保存時に暗号化されます。タスク入力、出力、コネクタデータ、サンドボックスの内容などのエンタープライズデータは、モデルのトレーニングには使用されません。エンタープライズファイルの添付ファイルは7日後に削除されます。

ウェブをブラウズして外部コンテンツを読み取るエージェントは、プロンプトインジェクション攻撃にさらされます。Computerは、Comet向けに構築した防御策を継承・拡張しており、これには4層の防御アーキテクチャや、ブラウザエージェントセキュリティ向けのオープンソース検知モデルであるBrowseSafeが含まれます。これらの防御策は、Trail of Bitsによって監査されています。

ML分類器が、外部ソースから取得したコンテンツをComputerが処理する前にスキャンします。検知システムはエージェントの推論パイプラインと並行して動作し、不審なコンテンツが検知されると安全停止をトリガーします。分類器は、バグ報奨金プログラム、レッドチーム演習、および実際の検知イベントから得られた知見に基づき、継続的に更新されます。

分類を超えて、各ツールのシステムプロンプトには明示的なガードレールが含まれています。外部コンテンツは信頼できないものとして区別され、システムはツールの選択・実行時に常に元のユーザークエリを参照します。

Computerは、信頼できないコンテンツを処理する際、より厳格なプロンプト処理やモデルレベルの保護など、追加のセーフガードを適用します。詳細については、上述の関連する調査およびセキュリティ評価をご参照ください。

Perplexity Enterpriseをご利用の組織において、管理者はComputerの動作に対して以下のガバナンスを追加で適用できます：

監査ログ：管理者は、ユーザーのクエリ、エージェントによるアクション、ファイルアクセス、コネクタの使用状況といった主要イベントをログに記録できます。ログはSplunk、Azure Sentinel、Datadogなどの主要なSIEMと統合可能であり、セキュリティチームは既存のインフラストラクチャのテレメトリと合わせてComputerのアクティビティを監視できます。

アクセス制御：管理者はComputerを完全に無効化するか、特定のメンバーのみに有効化することができます。Gmail、Outlook、Slack、GitHub、Notion、Snowflake、Databricks、Salesforceなどのサードパーティ製コネクタは、組織レベルで個別に有効化・無効化が可能です。また、管理者はComputerが使用を許可されるモデルを制限することもできます。

課金管理：管理者は、シートごとのクレジット上限の設定、個々のユーザーに対する割り当てのオーバーライド、自動リロードのしきい値や月間制限の構成が可能なほか、付与されたシート割り当てを超えてクレジットを追加しない設定も選択できます。

詳細については、当社のTrust Centerにアクセスするか、Computer for Enterpriseのドキュメントをご参照ください。