Perplexity、自律型エージェント「Computer」の安全設計を公開：VM分離とプロンプト注入対策

AI にコードを書かせて実行させ、ウェブを巡回させて外部サービスと連携させる。業務自動化としては魅力的ですが、企業のセキュリティ担当者にとっては悪夢になりかねないシナリオです。巡回先のウェブページに悪意ある指示が潜んでいれば、社内データが簡単に持ち出される恐れがあるからです。

Perplexity は自社の自律型エージェント「Perplexity Computer」を支えるセキュリティアーキテクチャの詳細を公開しました。コードの生成と実行、ウェブ閲覧、外部連携を自律的にこなすこのシステムにおいて、いかに安全性を担保しているかを解説しています。

Firecracker によるハードウェアレベルの分離

AI が未知のコードを実行する環境において、通常の OS レベルのアクセス制限だけでは不十分です。Perplexity はハードウェアレベルの隔離を採用し、すべてのタスクを「Firecracker」の軽量仮想マシン（microVM）内で動作させています。

各セッションには専用の Linux カーネル、セッション終了時にリセットされる独立したファイルシステム、そして専用ファイアウォールを備えたプライベートネットワークが割り当てられます。放置されると自動で一時停止し、一定時間後に破棄されるため、次の実行は常に初期化された状態で始まります。

認証情報の扱いも徹底されています。サブエージェントは生の API キーを持たず、認証ゲートウェイを経由する有効期限の短いプロキシトークンを使用します。これらもタスク完了時に破棄され、データストレージと実行環境はクラウドの別 VPC に完全に分離されています。

4層のプロンプトインジェクション防御

外部のウェブサイトを自律的に読みに行くエージェントは、常にプロンプトインジェクションの標的になります。Perplexity は以前から開発してきた「Comet」の防御策を拡張し、自社開発のオープンソース検出モデル「BrowseSafe」を組み込んだ 4 層の防御体制を敷きました。この仕組みはセキュリティ企業 Trail of Bits の監査も受けています。

外部から取得したコンテンツは、エージェントの推論と並行して機械学習分類器によってスキャンされ、不審な挙動を検知した場合は直ちに安全停止します。外部データには「信頼できない」フラグが付けられ、ツールを実行する際もユーザーの元のプロンプトと常に照合されます。

企業向けには、Splunk、Azure Sentinel、Datadog と連携できる監査ログ機能や、Gmail、Slack、GitHub、Salesforce などのコネクター単位でのアクセス制御、利用上限枠の設定機能を提供します。企業データはモデル学習に使われず、添付ファイルは 7 日後に自動削除されます。

なぜ重要か

自律型エージェントを現場に導入したい企業にとって、このセキュリティ設計の開示は強力な後押しになります。単に質問に答えるだけのチャットボットと異なり、コードの実行や社内ツールへのアクセス権を持つエージェントは、IT 部門から厳しい目を向けられます。Firecracker による隔離や SIEM との連携が最初から組み込まれていることで、実運用へのハードルは大きく下がります。

業界全体にとっても、エージェント開発の競争軸が「頭の良さ」から「システムの堅牢さ」へと移りつつあることを示しています。ウェブ上の悪意あるスクリプトや指示に引っかからず、安全に処理を完了できるインフラを整えられないツールは、企業の基幹業務には食い込めません。

今回の Perplexity のアプローチは、LLM の倫理観やプロンプトだけで防ごうとせず、仮想マシンによるハードウェア隔離と専用の検出モデルを組み合わせた点で手堅い判断に見えます。一方で、取得した外部コンテンツをすべて並行スキャンすることによるレイテンシの増加や、過剰な防御による誤検知で業務タスクが意図せず中断してしまうリスクは残っており、実際の現場でどこまで実用性を維持できるかが今後の焦点になりそうです。