Computerを支えるサンドボックスプラットフォーム「SPACE」をオープンソース化

2月にComputerをリリースして以来、Perplexityはパーソナルエージェントの先駆者として歩んできました。私たちは、エージェントガバナンス、安全でない動作の検出、不正なエージェント活動の防止といった難題に真剣に取り組んでいます。7月には、市販のサンドボックスプロバイダーを、より堅牢で回復力の高い自社開発のソリューションに置き換え、SPACEと名付けました。

SPACEは、高度なエージェントシステムに高いセキュリティを提供します。実際、最近実施した一連の集中的なセキュリティテストでは、OpenAI/Hugging Faceのインシデントで使われたようなネットワーク回避手法に対して、SPACEが耐性を持つことが証明されました。

本日、SPACEをオープンソースとして公開します。開発者がより安全なエージェントシステムを構築するための基盤を提供するとともに、業界全体における保護の強化に貢献することを目指しています。開発者はこちらのリポジトリにアクセスできます。

エージェントガバナンスはエンジニアリングの問題であり、その解決にはオープンソースが不可欠です。開発者が検証、調整、拡張できるシステムを手にすれば、より多くの弱点を発見し、より優れたツールを開発できます。SPACEのオープンソース化により、開発者は、分離、状態の復旧、認証情報とネットワークの制御を組み込んだ、本番環境で実証済みのエージェントランタイム基盤を得られます。

他の開発者のための基盤づくり

サンドボックスはエージェントの安全を守ります。これらのタスクの完了に必要なツールやファイルへのアクセスをエージェントに許可しつつ、機密情報を保護します。

SPACEのオープンソース化により、開発者は、エージェントがコードを実行しファイルを扱う環境を構築するための出発点を得られます。チームはSPACEサンドボックスプラットフォームの仕組みを確認し、その実装をもとに構築できます。また、基盤となるインフラを一から作り直すのではなく、ニーズに合わせて調整することもできます。

Computerでは、SPACEが分離されたコード実行、一時停止と再開、復旧、セッションの分岐をサポートしています。これらの機能は、次のようなことができるアシスタントの基盤となります：

• データの分析：独立したワークスペースでスプレッドシートをクリーンアップし、計算を実行し、グラフを作成します。
• 作業の再開：下書きのレビューや不足している情報の提供を待つ間に一時停止し、ファイルと実行状態を保持したまま再開します。
• 別の方法を試す：ワークスペースの別々のコピーでデータセットをクリーンアップする2つの方法を試したり、ミスの後に以前のファイルを復元したりします。

これらの例は、開発者がSPACEのドキュメント化された分離機能とセッション制御をどのように活用できるかを示しています。プラットフォームエンジニアやセキュリティエンジニアは、SPACEを自社のシステムに統合する前に、分離モデルとセキュリティの例を確認することもできます。

自律的な作業のセキュリティを強化

エージェントに問題解決の自由度を与えるなら、その解決方法には明確な制限が必要です。正当なタスクを遂行しているエージェントであっても、見つからないファイル、失敗したリクエスト、権限の拒否を回避しようとする際に、セキュリティ境界を越えてしまうことがあるとわかっています。

モデルにセーフガードを導入することで、安全でない動作が起こる可能性を減らせます。さらに、周囲のシステムに独立した制御を追加すれば、そうしたセーフガードが機能しなかった場合の被害を抑えられます。これらの制御は、エージェントが何をしようと判断したかにかかわらず、エージェントがアクセスできる範囲を制限します。

SPACEは、エージェントが生成したコードやファイルのための独立したワークスペースの周囲に、こうした制御を配置します。私たちは、分離、復旧、効率的な実行を兼ね備えるようにSPACEを設計しました。これにより、エージェントはセキュリティ境界の遵守をモデルだけに頼ることなく、長時間のセッションにわたって有用な作業を行えます。

独自のオペレーティングシステム内で動作

各SPACEサンドボックスは、独自のオペレーティングシステムを備えた小さな仮想マシン内で動作し、エージェントの作業とホストシステムとの間に分離境界を作ります。中央のコントロールプレーンが、これらのワークスペースの作成、一時停止、再開、削除のタイミングを調整します。

SPACEはサンドボックスを信頼できないものとして扱い、ネットワークアクセスとプラットフォームが保持する認証情報をサンドボックスの外で管理します。エージェントは、作業環境にそれらの認証情報を保存することなく、承認されたサービスに接続できます。

頻繁なファイルスナップショットと実行環境全体のチェックポイントにより、中断があっても進捗が保持されます。これらの処理を効率的に保つため、SPACEは環境全体を繰り返しコピーするのではなく、変更点を保存します。これにより、サンドボックスの作成、復元、分岐に必要な作業が削減されます。

本番環境でのパフォーマンス向上

7月以降、SPACEはすべてのComputerセッションを支え、1日あたり数百万件のサンドボックス作成を処理してきました。同じ本番トラフィックを用いた比較では、サンドボックスの作成速度は以前のプロバイダーの3〜5倍でした。

また、意図的に境界の突破を試みるエージェントを相手にSPACEをテストしました。公開したセキュリティ評価では、108回の試行で仮想マシンからホストへの脱出は一度も確認されませんでしたが、一部の試行ではネットワーク制限を回避する方法が見つかりました。私たちはこれらの弱点を修正し、その後のテストでは、特定された2つの攻撃手法はいずれも成功しませんでした。

また、他のサンドボックスプラットフォームで見つかった関連する弱点についても、それぞれのベンダーに開示し、この取り組みを自社のインフラの枠を超えて広げました。

より安全なエージェント型AIへの貢献

SPACEは、AIがより多くの仕事を担うようになる中で、人々が頼りにするシステムを強化するための幅広い取り組みの一環です。私たちはSecure Intelligence Instituteを通じてセキュリティ研究を行い、より広いコミュニティと協力しながら、その成果を実践的な防御策へと落とし込んでいます。

セキュリティツールをオープンソース化することで、開発者は防御をテストし、弱点を見つけ、より安全なAIシステムを構築するための手段をさらに得られると私たちは考えています。私たちはこれまで、その取り組みのさまざまな側面に対応する次のツールを公開してきました。

• BrowseSafe：Webページに隠された悪意のある指示を検出するためのモデルとベンチマーク。
• Numbat：7月にオープンソース化したセキュリティツールキット。コンピューター上での危険なエージェントの動作の検出、調査、防止に役立ちます
• Bumblebee：5月にオープンソース化したスキャナー。開発者のマシンに危険なソフトウェアパッケージ、拡張機能、AIツールの設定がないかをチェックします

これらのツールを公開することで、他のチームが私たちの成果を検証し、ニーズに合わせて調整し、改善に貢献できるようになります。SPACEでは、このアプローチを、エージェントがコードを実行しファイルを扱う環境にまで広げます。

エージェントシステムへのデプロイ

Akamaiは自社のクラウドプラットフォーム上でSPACEのテストを経て提供を開始しており、顧客への展開に向けてPerplexityと連携しています。CrusoeもPerplexityと提携し、同社のManaged AI ServicesポートフォリオへのSPACEの追加を進めています。また、CoreWeaveは、CKS上でSPACEを評価目的でデプロイしたい開発者向けに、セットアップガイドを公開しています。

開発者は、SPACEのセットアップ手順とセキュリティガイダンスを参考にして、自社のエージェントシステムにSPACEをデプロイできます。リポジトリとドキュメントには、サポートされている構成と含まれるコンポーネントが定義されています。