퍼플렉시티, AI 에이전트 '컴퓨터' 보안 설계 공개: 마이크로VM 격리와 주입 공격 방어

AI에게 코드를 작성하고 실행하게 하며, 웹을 탐색하고 외부 서비스까지 다루도록 맡기는 일은 강력하지만 기업 보안팀에게는 악몽이 될 수 있습니다. 웹페이지에 교묘하게 숨겨진 악성 명령 하나로 회사 내부 데이터가 유출될 위험이 있기 때문입니다.

Perplexity는 자사의 자율 에이전트인 Perplexity Computer의 보안 아키텍처를 상세히 공개했습니다. 코드를 직접 실행하고 외부 서비스를 넘나드는 환경에서 어떻게 기업 데이터를 안전하게 지키는지 네 가지 핵심 방어 체계를 밝혔습니다.

Firecracker 기반의 마이크로VM 격리

임의의 코드를 안전하게 실행하기 위해 Perplexity는 운영체제 기본 보안을 넘어 하드웨어 수준의 격리를 택했습니다. 모든 Computer 작업은 독립된 Firecracker 마이크로VM 샌드박스 안에서 실행됩니다.

각 샌드박스는 전용 리눅스 커널, 작업 종료 시 초기화되는 격리된 파일시스템, 자체 방화벽 규칙을 가진 독립 네트워크를 부여받습니다. 작업이 유휴 상태에 들어가면 자동으로 일시 중지되고 비활성 시간이 지나면 완전히 삭제되므로, 매 세션은 항상 깨끗한 상태에서 시작됩니다.

자격 증명 관리 역시 철저합니다. 하위 에이전트는 실제 API 키 대신 인증된 게이트웨이를 거치는 단기 프록시 토큰을 사용하며, 이 토큰은 샌드박스와 함께 파기됩니다. 코드 실행 환경과 데이터 스토리지는 클라우드 내 서로 다른 VPC로 분리되어 있습니다.

4단계 프롬프트 주입 방어와 엔터프라이즈 통제

외부 웹을 읽어오는 에이전트는 프롬프트 주입 공격에 항상 노출됩니다. Perplexity는 자체 오픈소스 브라우저 에이전트 보안 모델인 BrowseSafe를 포함한 4단계 방어 아키텍처를 적용했으며, 이는 보안 전문 기업 Trail of Bits의 감사를 거쳤습니다.

외부에서 가져온 데이터는 에이전트의 추론 과정과 병렬로 실행되는 머신러닝 분류기를 거치며, 의심스러운 내용이 감지되면 즉시 안전 중단이 트리거됩니다. 외부 콘텐츠는 신뢰할 수 없음으로 분류되고, 도구를 실행할 때마다 사용자의 원래 요청과 지속적으로 대조됩니다.

기업 관리자를 위한 통제 기능도 촘촘합니다. 사용 쿼리, 파일 접근, 커넥터 사용 내역을 Splunk, Azure Sentinel, Datadog 같은 보안관제시스템(SIEM)으로 바로 보낼 수 있습니다. Gmail, Slack, GitHub, Salesforce 등의 개별 커넥터 온오프와 모델 제한이 가능하며, 기업 첨부 파일은 7일 후 자동 삭제되고 모델 학습에는 일절 사용되지 않습니다.

왜 중요한가

AI 에이전트를 실무에 도입하려는 기업 입장에서 이번 아키텍처 공개는 일종의 안전 보증서 역할을 합니다. 단순히 텍스트를 생성하는 챗봇과 달리, 자율적으로 웹을 뒤지고 코드를 돌리는 에이전트는 시스템 장악이나 정보 유출의 위험이 큽니다. Perplexity Computer가 내세운 Firecracker 기반의 격리와 단기 토큰 시스템, 엔터프라이즈 SIEM 연동은 보안 심사를 통과하기 위한 핵심 요건들을 정확히 짚어냈습니다.

업계 전체로 보면 에이전트 경쟁이 모델의 성능 대결을 넘어 시스템 인프라와 보안 엔지니어링 싸움으로 확장되고 있음을 보여줍니다. 아무리 똑똑한 모델이라도 신뢰할 수 없는 웹 환경에서 탈옥되거나 악성 코드에 휘둘린다면 기업의 결재를 받을 수 없기 때문입니다.

우리가 보기에 Perplexity는 LLM의 가드레일 프롬프트에만 의존하지 않고 하드웨어 수준의 샌드박스와 별도 탐지 모델을 겹겹이 쌓아 올리는 영리한 구조를 택했습니다. 다만 외부 웹 콘텐츠를 가져올 때마다 분류기를 병렬로 돌리는 과정에서 추가적인 지연 시간과 비용이 발생할 수밖에 없으며, 복잡한 자동화 작업을 수행할 때 오탐으로 인해 작업이 중간에 멈추는 문제를 얼마나 줄일 수 있을지가 실도입의 관건이 될 것입니다.