Perplexity представила Computer — автономного агента с запуском кода в Firecracker‑сандбоксах и инфраструктурой с SOC 2 Type

Perplexity запустила Computer — автономного агента, который пишет и выполняет код, просматривает веб и подключается к внешним сервисам.

Perplexity представила Computer — автономного агента, способного писать и запускать код, обходить веб‑страницы и подключаться к внешним сервисам для выполнения задач от лица пользователя; продукт построен поверх инфраструктуры компании, завершившей аудит SOC 2 Type II в 2026 году, что подчёркивает корпоративную направленность и требования к контролю доступа. Это важно для организаций, которые хотят автоматизировать выполнение задач с кодом, сохраняя уровень управления и безопасности, близкий к корпоративным стандартам.

Для исполнения кода Computer использует Firecracker‑mikpoVM: каждая задача выполняется в отдельном микровиртуальном сандбоксе с собственным Linux‑ядром, минимальным набором виртуальных устройств и уменьшенной площадью атаки. Сандбоксы обеспечивают изолированную файловую систему и приватный сетевой неймспейс с отдельными правилами файрвола; они автоматически приостанавливаются в простое и уничтожаются после периода неактивности, а каждый новый сеанс стартует «чистым». Только необходимые для задачи креденшелы загружаются в сессию и удаляются вместе с ней, а суб‑агенты обмениваются краткоживущими прокси‑токенами через аутентифицированный шлюз.

Архитектура разделяет хранение данных и выполнение кода между облачными VPC, чтобы минимизировать постоянный доступ среды выполнения к корпоративным данным; вся коммуникация между компонентами идёт по HTTPS. Подключение к внешним сервисам контролируется через коннекторы, которые администраторы могут включать или выключать. Встроенные интеграции с провайдерами, например Google и Microsoft, используют стандартный поток аутентификации, а кастомные удалённые коннекторы поддерживают OAuth 2.0 или корпоративную модель управления API‑ключами.

Политика работы с данными рассчитана на минимизацию объёма передаваемой информации: все типы коннекторов сконструированы так, чтобы передавать только данные, необходимые для выполнения конкретной задачи. Файловые коннекторы обеспечивают шифрование данных в пути и в покое; удалённые коннекторы обязаны работать по HTTPS, загруженные файлы автоматически удаляются через семь дней, а корпоративные данные — вводы задач, выводы, данные коннекторов и содержимое сандбоксов — не используются для обучения моделей.

Чтобы противостоять prompt‑injection и враждебному контенту из веба, Computer унаследовал и расширил защиту, применённую к предыдущим продуктам: четырёхслойную оборону и BrowseSafe — открытый модуль для обнаружения атак браузерных агентов. Эти механизмы проходили аудит Trail of Bits; классификаторы машинного обучения сканируют внешний контент параллельно с пайплайном рассуждений агента и инициируют безопасную остановку при обнаружении подозрительных сигналов. Обновления моделей и правил происходят на основе баунти‑программ, red‑team упражнений и анализа реальных инцидентов.

Для разработчиков и ИТ‑администраторов модель сессий обеспечивает запуск в среде с наименьшими привилегиями, повышает воспроизводимость и снижает риск появления персистентных артефактов. Краткоживущие токены и разграничение хранилища уменьшают вероятность утечки долговременных ключей. Документ также указывает на дополнительные механизмы корпоративного управления для клиентов Perplexity Enterprise и ссылается на сопутствующие исследования и оценки безопасности для тех, кто хочет более детально изучить архитектуру.