Como integramos segurança ao Computer
O Perplexity Computer é construído diretamente na infraestrutura existente da Perplexity, que concluiu sua certificação SOC 2 Tipo II de 2026, e herda os recursos de segurança empresarial da Perplexity, como SAML SSO, registros de auditoria e controles administrativos granulares.
Perplexity Computer é um agente autônomo que escreve e executa código, navega na web e se conecta a serviços externos para realizar tarefas em seu nome.
Ele é construído diretamente na infraestrutura existente da Perplexity, que concluiu sua certificação SOC 2 Tipo II de 2026, e herda os recursos de segurança empresarial da Perplexity, como SAML SSO, registros de auditoria e controles administrativos granulares.
A execução de código e a atuação em serviços ativos introduzem novos requisitos. Este artigo aborda o que construímos sobre a base original para continuar mantendo nossos usuários seguros: isolamento em sandbox, conectores e tratamento de dados, defesa contra injeção de prompt e governança empresarial.
Isolamento em sandbox
A execução segura de código exige isolamento em nível de hardware. Cada tarefa do Computer é executada dentro de um sandbox microVM Firecracker, impondo o princípio do privilégio mínimo em um nível que vai além da segurança padrão do sistema operacional. Cada microVM inicializa seu próprio kernel Linux dedicado com um modelo de dispositivo minimalista que reduz a superfície de ataque.
Cada sandbox é isolado em três dimensões:
Kernel dedicado: Cada Sessão recebe sua própria instância de kernel Linux.
Sistema de arquivos isolado: Cada VM usa um sistema de arquivos isolado que é redefinido quando a Sessão termina.
Namespace de rede privado: Sandboxes possuem sua própria rede isolada com regras de firewall dedicadas.
Os sandboxes entram em pausa automática quando ociosos e são destruídos após um período de inatividade. Cada nova Sessão inicia limpa. Apenas as credenciais necessárias para a tarefa atual são injetadas, e elas são destruídas junto com o sandbox. Sub-agentes usam tokens de proxy de curta duração roteados através de um gateway autenticado em vez de chaves de API brutas.
Também separamos o armazenamento de dados da execução de código entre VPCs de nuvem. Essa separação ajuda a isolar os dados do usuário armazenados do ambiente de execução. Toda comunicação entre os dois ocorre via HTTPS criptografado.
Conectores e tratamento de dados
O Computer pode se conectar a serviços externos mantendo o acesso limitado e o tratamento de dados controlado. Administradores podem habilitar ou desabilitar conectores para a organização, e usuários individuais autenticam os serviços que desejam usar dentro do Computer.
O caminho de conexão depende do conector. Integrações nativas, como Google e Microsoft, usam fluxos de autenticação do provedor, enquanto conectores remotos personalizados suportam OAuth 2.0 ou autenticação por chave de API gerenciada pela empresa. Todos os tipos de conector são projetados para transmitir apenas o mínimo de dados necessário para concluir a tarefa. O tratamento de dados segue o mesmo modelo de controle. Conectores remotos personalizados devem usar HTTPS, e os dados do conector de arquivos são criptografados em trânsito e em repouso. Dados corporativos, como entradas de tarefas, saídas, dados de conectores e conteúdos de sandbox, não são usados para treinamento de modelos. Anexos de arquivos corporativos são excluídos após 7 dias.
Defesa contra injeção de prompt
Um agente que navega na web e lê conteúdo externo está exposto a ataques de injeção de prompt. O Computer herda e estende as defesas que construímos originalmente para o Comet, incluindo nossa arquitetura de defesa de quatro camadas e o BrowseSafe, nosso modelo de detecção de código aberto para segurança de agentes de navegação. Essas defesas foram auditadas pela Trail of Bits.
Classificadores de ML escaneiam o conteúdo recuperado de fontes externas antes que o Computer atue sobre ele. O sistema de detecção é executado em paralelo com o pipeline de raciocínio do agente e aciona uma parada de segurança quando conteúdo suspeito é detectado. Os classificadores são atualizados continuamente com base em descobertas do nosso programa de recompensa por bugs, exercícios de equipe vermelha e eventos de detecção no mundo real.
Além da classificação, o prompt de sistema de cada ferramenta inclui diretrizes explícitas. O conteúdo externo é demarcado como não confiável, e o sistema referencia continuamente a consulta original do usuário ao selecionar e executar ferramentas.
O Computer aplica proteções adicionais ao processar conteúdo não confiável, incluindo tratamento de prompt mais rigoroso e proteções em nível de modelo. Se desejar ler mais sobre isso, vinculamos as pesquisas e avaliações de segurança relevantes acima.
Controles empresariais
Para organizações no Perplexity Enterprise, administradores obtêm governança adicional sobre como o Computer opera:
Registros de auditoria: Administradores podem registrar eventos-chave, como consultas de usuários, ações do agente, acesso a arquivos e uso de conectores. Os registros se integram a SIEMs líderes, incluindo Splunk, Azure Sentinel e Datadog, para que as equipes de segurança possam monitorar a atividade do Computer juntamente com a telemetria de infraestrutura existente.
Controles de acesso: Administradores podem desabilitar o Computer totalmente ou habilitá-lo apenas para membros específicos. Conectores de terceiros, incluindo Gmail, Outlook, Slack, GitHub, Notion, Snowflake, Databricks e Salesforce, podem ser habilitados ou desabilitados individualmente no nível da organização. Administradores também podem restringir quais modelos o Computer tem permissão para usar.
Controles de faturamento: Administradores podem definir limites de crédito por licença, substituir alocações para usuários individuais, configurar limites de recarga automática e limites mensais, ou optar por não adicionar créditos além da alocação de licença incluída.
Para obter detalhes completos, visite nossa Central de Confiança ou consulte a documentação do Computer for Enterprise.