我们将安全融入 Computer 的过程

Perplexity Computer 是一款自主智能体，能够为您编写和运行代码、浏览网页并连接至外部服务以完成任务。

它直接构建于 Perplexity 现有基础设施之上（该设施已完成 2026 年 SOC 2 Type II 认证），并继承了 Perplexity 的企业级安全功能，例如 SAML SSO、审计日志以及精细的管理控制。

执行代码并对实时服务采取行动会引入新的要求。本文介绍了我们在原有基础之上所构建的内容，旨在持续保障用户安全，包括：沙盒隔离、连接器与数据处理、提示词注入防御以及企业治理。

沙盒隔离

安全地运行代码需要硬件级别的隔离。每项 Computer 任务均在 Firecracker 微虚拟机（microVM）沙盒内运行，在超越默认操作系统安全级别的基础上强制执行最小权限原则。每个微虚拟机启动其专属的 Linux 内核，并配备能减少攻击面的最小化设备模型。

每个沙盒在三个维度上进行隔离：

专用内核：每个会话均获取其独立的 Linux 内核实例。

隔离文件系统：每个虚拟机使用一个在会话结束时重置的隔离文件系统。

私有网络命名空间：沙盒拥有其独立的网络，并配置了专门的防火墙规则。

沙盒在闲置时会自动暂停，并在一段时间不活跃后被销毁。每个新会话均从零开始。只有完成当前任务所需的凭据才会被注入，且凭据会随沙盒一同销毁。子智能体使用通过经身份验证的网关路由的短期代理令牌，而非直接使用原始 API 密钥。

我们还在云 VPC 之间实现了数据存储与代码执行的分离。这种分离有助于将存储的用户数据与执行环境隔离开来。两者之间的所有通信均通过加密的 HTTPS 进行。

连接器与数据处理

Computer 可以在保持访问权限受控和数据处理受限的同时连接至外部服务。管理员可以为组织启用或禁用连接器，个人用户随后可授权他们想在 Computer 内使用的服务。

连接路径取决于连接器。内置集成（例如 Google 和 Microsoft）使用提供商身份验证流程，而自定义远程连接器则支持 OAuth 2.0 或企业托管的 API 密钥身份验证。所有连接器类型均旨在仅传输完成任务所需的最少数据。数据处理遵循相同的控制模型。远程自定义连接器必须使用 HTTPS，文件连接器数据在传输和静态存储时均经过加密。企业数据（如任务输入、输出、连接器数据和沙盒内容）不会用于模型训练。企业文件附件会在 7 天后删除。

提示词注入防御

浏览网页并读取外部内容的智能体容易受到提示词注入攻击。Computer 继承并扩展了我们最初为 Comet 构建的防御措施，包括我们的 四层防御架构 和 BrowseSafe（我们用于浏览器智能体安全的开源检测模型）。这些防御措施已通过 Trail of Bits 的审计。

机器学习分类器会在 Computer 对内容采取行动之前扫描从外部源检索到的内容。检测系统与智能体的推理管道并行运行，并在检测到可疑内容时触发安全停止。分类器会根据我们的漏洞赏金计划、红队演练以及真实世界的检测事件所发现的问题持续更新。

除分类外，每个工具的系统提示词都包含明确的护栏。外部内容被标记为不可信，且系统在选择和执行工具时会持续参考原始用户查询。

在处理不可信内容时，Computer 会应用额外的安全防护措施，包括更严格的提示词处理和模型级别的保护。如需阅读更多相关信息，请参考上方的相关研究与安全评估链接。

企业控制

对于使用 Perplexity Enterprise 的组织，管理员可针对 Computer 的运作获得额外的治理权限：

审计日志：管理员可以记录关键事件，如用户查询、智能体操作、文件访问和连接器使用情况。日志可与主流 SIEM（包括 Splunk、Azure Sentinel 和 Datadog）集成，以便安全团队能够结合现有基础设施遥测数据监控 Computer 活动。

访问控制：管理员可以完全禁用 Computer，或仅为特定成员启用。第三方连接器（包括 Gmail、Outlook、Slack、GitHub、Notion、Snowflake、Databricks 和 Salesforce）均可在组织级别分别启用或禁用。管理员还可以限制 Computer 允许使用的模型。

计费控制：管理员可以设置各席位的积分上限、覆盖个人用户的分配额度、配置自动充值阈值和月度限额，或选择不再增加超出所包含席位分配额度的积分。

如需详细信息，请访问我们的 信任中心 或查看 Computer for Enterprise 文档。