Zabezpieczanie sztucznej inteligencji z Perplexity

Zasoby dotyczące bezpieczeństwa wymienione w tej sesji

• Jak wbudowaliśmy bezpieczeństwo w Computer
• Bezpieczne piaskownice dla agentów
• Łagodzenie ataków typu prompt injection w systemie Comet
• Artykuł naukowy BrowseSafe
• Zabezpieczanie agentów za pomocą Numbat
• Otwieranie kodu źródłowego Bumblebee
• Instytut Bezpiecznej Inteligencji
• Centrum zaufania

Często zadawane pytania

Budowanie bezpieczeństwa w całym stosie AI

Jak Perplexity podchodzi do kwestii bezpieczeństwa, budując rozwiązania na tak wielu warstwach stosu AI? Wszystko, co tworzy Perplexity, opiera się na myśleniu uwzględniającym bezpieczeństwo w pierwszej kolejności (security-first), przy czym traktujemy bezpieczeństwo (safety) i ochronę (security) jako powiązane, lecz odrębne zadania. Bezpieczeństwo (safety) polega na ochronie ludzi przed agentami. Ochrona (security) polega na ochronie agentów przed ludźmi. Budowanie rozwiązań w ramach całego stosu oznacza, że możemy umieścić odpowiednie mechanizmy kontrolne na właściwej warstwie dla konkretnych zadań, zamiast dokładać zabezpieczenia do czarnej skrzynki, której nie jesteśmy właścicielami.

SPACE, piaskownica dla agentów Perplexity

Czym jest piaskownica i w jaki sposób chroni użytkowników oraz agentów? Piaskownica zapewnia kodowi wydzielone miejsce do działania bez uzyskiwania dostępu do Twoich systemów lub danych. Agenci podnoszą stawkę, dlatego w Computer każde zadanie otrzymuje własną piaskownice.

Dlaczego Perplexity stworzyła własną piaskownice (SPACE) zamiast korzystać z istniejącego rozwiązania? Dostępne na rynku narzędzia nie były w stanie zapewnić poziomu bezpieczeństwa, jaki Perplexity chce zagwarantować swoim klientom. Agenci obalają założenie, że piaskownice służą do krótkotrwałego wykonywania kodu. Wprowadza to dwa sprzeczne ze sobą wymagania: środowisko powinno być jednorazowe, ale praca musi mieć charakter trwały. Istniejące platformy zmuszały do wyboru dwóch spośród trzech cech: funkcjonalności, wydajności oraz bezpieczeństwa. System SPACE został stworzony, aby zapewnić wszystkie trzy.

Jak w praktyce działa SPACE i jakie mechanizmy kontroli bezpieczeństwa posiada? SPACE sprawia, że trwałym obiektem staje się sesja, a nie piaskownica. Sesja jest łańcućcem kolejno po sobie następujących migawek, a te migawki uruchamiają pełny zestaw mechanizmów kontrolnych SPACE. Wstrzymanie to po prostu zatrzymanie piaskownice. Wznowienie to przywrócenie najnowszej migawki na dowolnym komputerze. Tworzenie rozgałęzienia (forking) polega na dwukrotnym przywróceniu tej samej migawki i pozwoleniu, aby kopie się rozeszły. Użytkownicy zyskują ciągłość działania oraz przycisk wehikułu czasu na wypadek, gdyby coś poszło nie tak.

Gdzie znajdują się moje dane uwierzytelniające, gdy agent działa w moim imieniu? Piaskownice to miejsce, w którym wykonywane są niezaufane prace, więc jest to ostatnie miejsce, w którym powinny znajdować się klucze. Gdyby agent został przejęty, atakujący przejąłby wszystko, czym dysponuje agent, dlatego nasi agenci nie przechowują niczego. Dane uwierzytelniające docierają z zewnątrz, dokładnie w momencie, gdy są potrzebne, i wyłącznie do tego konkretnego zadania.

RBAC, łączniki i funkcje bezpieczeństwa Perplexity

Do czego dokładnie uzyskuje dostęp Perplexity, gdy podłączony jest łącznik taki jak Snowflake lub Outlook, i co administrator może wyłączyć? W przeciwieństwie do narzędzi dla agentów, które zaczynają od dostępu do całego komputera, Computer zaczyna bez żadnego dostępu. Dostęp jest uzyskiwany za pośrednictwem protokołu OAuth z precyzyjnie określonymi uprawnieniami, więc jeśli czegoś nie widzisz, Twój agent również tego nie zobaczy. Administratori mogą wyłączyć cały łącznik lub tylko wybrane narzędzia w jego obrębie.

Jak system kontroli dostępu opartej na rolach (RBAC) w Perplexity integruje się z naszym dostawcą tożsamości?

Dostawca tożsamości organizacji odpowiada już na pytanie, kto może dotykać czego. Perplexity integruje się z nim, a te granice przechodzą bezpośrednio do produktu. Twoje źródło prawdy pozostaje źródłem prawdy, a ścieżka audytu pozostaje dokładna. Zespoły otrzymują kontekst, którego potrzebują, a firmy zachowują kontrolę nad tym, kto co widzi.

Jak Perplexity chroni agentów przed atakami typu prompt injection w otwartej sieci? Atak typu prompt injection to inżynieria społeczna wymierzona w agentów zamiast w pracowników, a otwarta sieć to miejsce, w którym obcy mogą z nimi rozmawiać. BrowseSafe traktuje każdą stronę czytaną przez agenta jako niezaufaną i skanuje ją równolegle, zanim treść zdąży wpłynąć na zachowanie agenta. Badania nad bezpieczeństwem zachowane dla siebie chronią tylko Ciebie. Agenci wszystkich użytkowników czytają tę samą sieć, dlatego udostępniliśmy benchmark publicznie.

Jakich narzędzi używa Perplexity do ochrony maszyn, na których działają agenci i pracownicy? Bumblebee odpowiada na pierwsze pytanie pojawiające się po każdym incydencie w łańcuchu dostaw: czy ten szkodliwy pakiet znajduje się gdziekolwiek w naszych systemach? Numbat obserwuje samą warstwę agenta i odczytuje zachowania sekwencyjnie. Ponieważ znajduje się tam, gdzie działa agent, może zatrzymać działanie przed jego wykonaniem.

Używanie Computer do zabezpieczania Computer

Czy Computer można powierzyć rzeczywiste prace z zakresu bezpieczeństwa? Własny zespół ds. bezpieczeństwa Perplexity zbudował swoją infrastrukturę bezpieczeństwa we własnym zakresie na bazie Computer, zamiast czekać, aż zewnętrzne narzędzia nadróbki zaległości. Wykonanie niezależne od modelu, trwała pamięć i pozostała część planu działania były już na miejscu, dzięki czemu zespół mógł skupić się na samym agencie bezpieczeństwa. Zbudowanie najlepszego agenta bezpieczeństwa oznacza konieczność posiadania najlepszego środowiska uruchomieniowego pod nim.

W czym Computer najbardziej odciąża zespół ds. bezpieczeństwa od powtarzalnych zadań? Computer może pomóc w klasyfikacji (triages) pominiętych alertów oraz w tworzeniu raportów poincydentowych. Każda klasyfikacja w Computer jest domyślnie dokumentowana, dzięki czemu analitycy zaczynają od spisanego śledztwa zamiast surowego alertu.