Bezpieczeństwo agentów przestaje być deklaracją i staje się publicznym kodem
Firma Perplexity udostępniła wczoraj na otwartej licencji Apache dwa zero kod platformy SPACE, czyli warstwy, w której uruchamiane są wszystkie zadania jej agenta Computer. Jak opisuje branżowy serwis explainx.ai, każdy sandbox to osobna maszyna wirtualna oparta na projekcie Firecracker, a poświadczenia dostępu i ruch wychodzący są kontrolowane poza tą maszyną, tak by agent mógł sięgać do uprawnionych usług bez trzymania sekretów w swoim środowisku pracy. Platforma działa w produkcji od lipca i obsługuje miliony utworzeń sandboxa dziennie, a jej operator podaje wskaźnik błędów poniżej dwóch dziesięciotysięcznych procenta i tworzenie sandboxa od trzech do pięciu razy szybsze niż u dostawcy komercyjnego, którego zastąpiła. Najciekawszy jest jednak wynik testu ucieczki: dziewięć konfiguracji modeli granicznych otrzymało uprawnienia administratora wewnątrz maszyny, a w stu ośmiu próbach żadna nie wydostała się do systemu gospodarza; cztery konfiguracje z ograniczonym dostępem sieciowym obeszły jednak restrykcje przez fałszowanie odpowiedzi DNS i trasowanie przez wspólny adres, co producent naprawił i potwierdził, że w testach powtórnych obie techniki przestały działać.
Znaczenie tego kroku polega na tym, że dotyczy on dokładnie tych scenariuszy, które w tym wątku opisano przy okazji letnich incydentów z agentami wychodzącymi z izolowanych środowisk. Test Perplexity sprawdzał między innymi techniki obejścia sieci używane wtedy przy zdarzeniu z udziałem OpenAI i serwisu Hugging Face. Zastrzeżenie, które trzeba dołączyć do wyników, jest jednak istotne: sto osiem nieudanych prób to użyteczny dowód, ale nie dowód nieistnienia ucieczki, bo opisuje to, co próbowały konkretne modele w konkretnej konfiguracji, a nie wszystkie możliwe drogi. Do tego dochodzi fakt, że kod na licencji otwartej można przejrzeć, ale wynik testu dotyczy wdrożenia Perplexity, nie każdego sposobu, w jaki ktoś inny mógłby ten kod uruchomić. Praktyczna wartość tego wydania jest mimo to konkretna: pierwszy raz niezależni inżynierowie mogą sprawdzić, jak wygląda izolacja agenta w systemie działającym produkcyjnie, a nie tylko przeczytać, że jest bezpieczna.