Hoe we beveiliging hebben ingebouwd in Computer

Perplexity Computer is een autonome agent die code schrijft en uitvoert, op het web surft en verbinding maakt met externe diensten om namens u taken uit te voeren.

Het is direct gebouwd op de bestaande infrastructuur van Perplexity, die de 2026 SOC 2 Type II-attestatie heeft voltooid, en erft de bedrijfsbeveiligingsfuncties van Perplexity, zoals SAML SSO, auditlogs en gedetailleerde administratieve controles.

Het uitvoeren van code en het acteren op live diensten introduceert nieuwe vereisten. Dit bericht behandelt wat we bovenop de oorspronkelijke basis hebben gebouwd om de veiligheid van onze gebruikers te blijven waarborgen: sandbox-isolatie, connectors en gegevensverwerking, verdediging tegen prompt-injectie en enterprise governance.

Sandbox-isolatie

Het veilig uitvoeren van code vereist isolatie op hardwareniveau. Elke Computer-taak wordt uitgevoerd binnen een Firecracker microVM-sandbox, waarbij het principe van 'least privilege' wordt afgedwongen op een niveau dat verder gaat dan de standaardbeveiliging van het besturingssysteem. Elke microVM start zijn eigen toegewezen Linux-kernel met een minimaal apparaatmodel dat het aanvalsoppervlak verkleint.

Elke sandbox is geïsoleerd op drie dimensies:

Toegewezen kernel: Elke sessie krijgt zijn eigen Linux-kernelinstantie.

Geïsoleerd bestandssysteem: Elke VM gebruikt een geïsoleerd bestandssysteem dat wordt gereset wanneer de sessie eindigt.

Privé netwerk-namespace: Sandboxes hebben hun eigen geïsoleerde netwerk met toegewezen firewallregels.

Sandboxes worden automatisch gepauzeerd wanneer ze inactief zijn en worden vernietigd na een periode van inactiviteit. Elke nieuwe sessie begint schoon. Alleen de inloggegevens die nodig zijn voor de huidige taak worden geïnjecteerd en deze worden vernietigd met de sandbox. Sub-agents gebruiken kortstondige proxy-tokens die via een geauthenticeerde gateway worden gerouteerd in plaats van ruwe API-sleutels.

We scheiden ook gegevensopslag van code-uitvoering over cloud-VPC's heen. Deze scheiding helpt opgeslagen gebruikersgegevens te isoleren van de uitvoeringsomgeving. Alle communicatie tussen de twee verloopt via versleutelde HTTPS.

Connectors en gegevensverwerking

Computer kan verbinding maken met externe diensten, waarbij toegang beperkt blijft en gegevensverwerking gecontroleerd wordt. Beheerders kunnen connectors voor de organisatie in- of uitschakelen, en individuele gebruikers authenticeren vervolgens de diensten die zij binnen Computer willen gebruiken.

Het verbindingspad hangt af van de connector. Ingebouwde integraties zoals Google en Microsoft gebruiken authenticatiestromen van de provider, terwijl aangepaste externe connectors OAuth 2.0 of door de enterprise beheerde API-sleutelauthenticatie ondersteunen. Alle connectortypen zijn ontworpen om alleen de minimale gegevens te verzenden die nodig zijn om de taak te voltooien. Gegevensverwerking volgt hetzelfde controlemodel. Externe aangepaste connectors moeten HTTPS gebruiken en gegevens van bestandsconnectors worden versleuteld tijdens verzending en in rust. Enterprise-gegevens, zoals taakinvoer, uitvoer, connector-gegevens en sandbox-inhoud, worden niet gebruikt voor modeltraining. Enterprise-bestandsbijlagen worden na 7 dagen verwijderd.

Verdediging tegen prompt-injectie

Een agent die op het web surft en externe inhoud leest, is blootgesteld aan prompt-injectie-aanvallen. Computer erft en breidt de verdedigingsmechanismen uit die we oorspronkelijk voor Comet hebben gebouwd, inclusief onze vierlaagse verdedigingsarchitectuur en BrowseSafe, ons open-source detectiemodel voor browser-agentbeveiliging. Deze verdedigingsmechanismen zijn geaudit door Trail of Bits.

ML-classificatoren scannen inhoud die van externe bronnen wordt opgehaald voordat Computer ernaar handelt. Het detectiesysteem draait parallel aan de redeneer-pipeline van de agent en activeert een veilige stop wanneer verdachte inhoud wordt gedetecteerd. Classificatoren worden continu bijgewerkt op basis van bevindingen uit ons bugbounty-programma, red team-oefeningen en real-world detectie-events.

Naast classificatie bevat de systeemprompt van elke tool expliciete veiligheidsregels. Externe inhoud wordt gemarkeerd als onbetrouwbaar en het systeem verwijst continu naar de oorspronkelijke gebruikersvraag bij het selecteren en uitvoeren van tools.

Computer past extra voorzorgsmaatregelen toe bij het verwerken van onbetrouwbare inhoud, waaronder strengere promptafhandeling en bescherming op modelniveau. Als u hier meer over wilt lezen, hebben we de relevante onderzoeks- en beveiligingsevaluaties hierboven gelinkt.

Enterprise-controles

Voor organisaties met Perplexity Enterprise krijgen beheerders extra governance over hoe Computer werkt:

Auditlogs: Beheerders kunnen belangrijke gebeurtenissen loggen, zoals gebruikersvragen, acties van agents, bestandstoegang en connector-gebruik. Logs integreren met toonaangevende SIEM's, waaronder Splunk, Azure Sentinel en Datadog, zodat beveiligingsteams Computer-activiteit naast bestaande infrastructuurtelemetrie kunnen monitoren.

Toegangscontroles: Beheerders kunnen Computer volledig uitschakelen of alleen inschakelen voor specifieke leden. Connectors van derden, waaronder Gmail, Outlook, Slack, GitHub, Notion, Snowflake, Databricks en Salesforce, kunnen elk op organisatieniveau worden in- of uitgeschakeld. Beheerders kunnen ook beperken welke modellen Computer mag gebruiken.

Facturatiecontroles: Beheerders kunnen kredietlimieten per licentie instellen, toewijzingen voor individuele gebruikers overschrijven, drempels voor automatisch opwaarderen en maandelijkse limieten configureren, of ervoor kiezen om geen kredieten toe te voegen buiten de inbegrepen licentietoewijzing.

Bezoek voor volledige details ons Trust Center of bekijk de documentatie over Computer for Enterprise.