Perplexity Computer를 뒷받침하는 보안 설계

Perplexity Computer는 코드를 작성·실행하고 웹을 탐색하며 외부 서비스까지 연결하는 자율 에이전트다. 기존 Perplexity 인프라 위에서 동작하고, 이미 완료한 2026 SOC 2 Type II attestation과 SAML SSO, audit logs, granular admin controls를 그대로 이어받는다.

Sandbox isolation은 Firecracker microVM으로 구성된다. 각 세션은 전용 Linux kernel, 최소화된 device model, 격리된 filesystem, 독립 network namespace를 갖고, 유휴 상태가 되면 자동 pause된 뒤 삭제된다. 필요한 credential만 주입하고, sub-agent는 raw API key 대신 짧은 수명의 proxy token을 쓴다.

실행 환경과 저장소는 서로 다른 cloud VPC로 분리되고, 통신은 HTTPS로만 이뤄진다. Connectors는 조직 단위로 켜고 끌 수 있으며, Google·Microsoft 통합은 공급자 인증 흐름을, custom remote connector는 OAuth 2.0 또는 enterprise-managed API key authentication을 사용한다. Remote custom connectors는 HTTPS를 요구하고, file connector data는 전송·저장 시 모두 암호화된다. task inputs, outputs, connector data, sandbox contents는 model training에 쓰이지 않으며, enterprise file attachments는 7일 뒤 삭제된다.

Prompt injection defense는 Comet의 four-layer defense architecture와 BrowseSafe를 계승·확장하며, 이 방어 체계는 Trail of Bits의 감사도 받았다. 외부 콘텐츠는 ML classifier가 먼저 검사하고, 의심 신호가 감지되면 safe stop이 걸린다. 분류기는 bug bounty, red team exercise, 실제 탐지 이벤트를 바탕으로 계속 갱신된다. 각 tool의 system prompt는 외부 콘텐츠를 untrusted로 다루고, tool 선택과 실행은 항상 원래 사용자 질의를 기준으로 한다.

Enterprise controls는 audit logs, access controls, billing controls로 나뉜다.

• Admin은 user queries, agentic actions, file access, connector usage를 기록하고 Splunk, Azure Sentinel, Datadog과 연동할 수 있다.
• Computer 자체를 끄거나 특정 멤버에게만 열 수 있고, Gmail, Outlook, Slack, GitHub, Notion, Snowflake, Databricks, Salesforce 같은 third-party connector도 조직 단위로 제어할 수 있다.
• 허용 모델, per-seat credit cap, override allocations, auto-reload threshold, monthly limit까지 세밀하게 관리할 수 있다.