Perplexity 详解 Computer 安全架构：微虚拟机沙箱隔离，防范提示词注入

放手让 AI 替你写代码、查网页、调外部 API，听上去确实省事。但很多企业安全主管看到这类演示的第一反应不是惊艳，而是冒冷汗：万一网页里藏了一句恶意指令，把公司的内部数据给顺走了怎么办？

Perplexity 发文公布了 Perplexity Computer 背后的安全架构细节。这个自主智能体不仅能写代码并直接运行，还能联网抓取网页、接进各种企业级外部服务。为了让安全团队敢在生产环境里用它，Perplexity 在底层基础设施上堆了一整套硬核防线。

把每个任务关进 Firecracker 虚拟机

要让 AI 跑未知代码，光靠操作系统的普通权限限制肯定不够看。Perplexity 采用的做法是硬件级隔离：每个 Computer 任务都在独立的 Firecracker microVM 容器里跑。

这意味着每个任务不仅有专属于自己的 Linux 内核，还独享一套临时文件系统和私有网络命名空间。一旦用户不操作，沙箱会自动暂停，闲置一段时间直接销毁，下次启动又是完全干净的环境。

凭据管理也做了防泄漏设计。子智能体干活时拿不到原始 API 密钥，走的是通过网关分发的短期代理 Token，任务跑完凭据跟着沙箱一起抹掉。至于代码执行环境和用户数据存储，则干脆放在不同的云 VPC 里，中间全靠加密通信勾连。

四层防线看住网页暗桩

AI 一旦能自己上网搜资料，就等于把自己暴露在了提示词注入的枪口下。网页里随便藏一段假装系统提示的文字，就有可能带偏模型。

Perplexity 这套防线继承并扩展了此前 Comet 的四层防御架构，还搬出了自家开源的检测模型 BrowseSafe，整套方案已经交由 Trail of Bits 做了安全审计。

具体执行时，机器学习分类器会和智能体的推理流程并行工作。从外部网页抓回来的内容在真正被执行前都会被先扫一遍，一旦发现异常立即触发安全停机。同时，所有抓回来的外部文本在系统里都会被强行打上不可信标记，模型在每一步调工具时，都要反复和用户的原始指令对齐。

企业管网方面，它支持对接 Splunk、Azure Sentinel 和 Datadog 等主流安全监控平台。管理员不仅可以把控模型种类、限制每个员工的额度上限，还能一键开关 Gmail、Slack、GitHub、Snowflake 等外部连接器。针对企业用户，任务产生的文件附件在 7 天后会被强制清理，所有会话数据也明确不用于模型训练。

为什么重要

对于一直想用 AI 智能体接管繁琐业务流的企业来说，这篇技术拆解其实是一张准考证。普通对话式 AI 进企业只要管住内容合规，但当智能体开始拥有写代码、发请求、读数据库的行动权，安全考量就直接变成了操作系统级和网络级的攻防。Perplexity Computer 列出的这一整套 Firecracker 隔离、短期 Token 和审计接入，基本上是冲着大中型企业安全合规清单精准勾选的，打消了 IT 部门最大的顾虑。

对行业而言，智能体产品的竞争正在从单纯拼模型智商，迅速转向拼系统工程与防御深度。光会做任务已经不够了，谁能证明自己的 Agent 在碰上恶意网页和注入攻击时不失控、不泄密，谁才能拿到高价值的企业订单。

在我们看来，Perplexity 这套设计聪明在它没有完全把安全押注在模型的道德感或单一防护词上，而是把软硬件防线拆开：底层的 Firecracker 确保就算代码被玩坏了也穿透不了沙箱，顶层的 BrowseSafe 和工具护栏则负责盯紧逻辑漏洞。不过潜在的隐患依然存在，外部网页的内容千奇百怪，多层分类器并行扫描必然会带来额外的延迟和代币消耗，在极复杂的长流程任务中，如何在安全停机的准确率和任务执行的顺畅度之间保持平衡，还得看后续实际运行的考验。