Perplexity 詳解 Computer 安全架構：微虛擬機器沙箱隔離，防範提示詞注入

放手讓 AI 替你寫程式碼、查網頁、調外部 API，聽上去確實省事。但很多企業安全主管看到這類演示的第一反應不是驚豔，而是冒冷汗：萬一網頁裡藏了一句惡意指令，把公司的內部資料給順走了怎麼辦？

Perplexity 發文公佈了 Perplexity Computer 背後的安全架構細節。這個自主智慧體不僅能寫程式碼並直接執行，還能聯網抓取網頁、接進各種企業級外部服務。為了讓安全團隊敢在生產環境裡用它，Perplexity 在底層基礎設施上堆了一整套硬核防線。

把每個任務關進 Firecracker 虛擬機器

要讓 AI 跑未知程式碼，光靠作業系統的普通許可權限制肯定不夠看。Perplexity 採用的做法是硬體級隔離：每個 Computer 任務都在獨立的 Firecracker microVM 容器裡跑。

這意味著每個任務不僅有專屬於自己的 Linux 核心，還獨享一套臨時檔案系統和私有網路名稱空間。一旦使用者不操作，沙箱會自動暫停，閒置一段時間直接銷燬，下次啟動又是完全乾淨的環境。

憑據管理也做了防洩漏設計。子智慧體幹活時拿不到原始 API 金鑰，走的是通過閘道器分發的短期代理 Token，任務跑完憑據跟著沙箱一起抹掉。至於程式碼執行環境和使用者資料儲存，則乾脆放在不同的雲 VPC 裡，中間全靠加密通訊勾連。

四層防線看住網頁暗樁

AI 一旦能自己上網搜資料，就等於把自己暴露在了提示詞注入的槍口下。網頁裡隨便藏一段假裝系統提示的文字，就有可能帶偏模型。

Perplexity 這套防線繼承並擴充套件了此前 Comet 的四層防禦架構，還搬出了自家開源的檢測模型 BrowseSafe，整套方案已經交由 Trail of Bits 做了安全審計。

具體執行時，機器學習分類器會和智慧體的推理流程並行工作。從外部網頁抓回來的內容在真正被執行前都會被先掃一遍，一旦發現異常立即觸發安全停機。同時，所有抓回來的外部文本在系統裡都會被強行打上不可信標記，模型在每一步調工具時，都要反覆和使用者的原始指令對齊。

企業管網方面，它支援對接 Splunk、Azure Sentinel 和 Datadog 等主流安全監控平臺。管理員不僅可以把控模型種類、限制每個員工的額度上限，還能一鍵開關 Gmail、Slack、GitHub、Snowflake 等外部聯結器。針對企業使用者，任務產生的檔案附件在 7 天后會被強制清理，所有會話資料也明確不用於模型訓練。

為什麼重要

對於一直想用 AI 智慧體接管繁瑣業務流的企業來說，這篇技術拆解其實是一張准考證。普通對話式 AI 進企業只要管住內容合規，但當智慧體開始擁有寫程式碼、發請求、讀資料庫的行動權，安全考量就直接變成了作業系統級和網路級的攻防。Perplexity Computer 列出的這一整套 Firecracker 隔離、短期 Token 和審計接入，基本上是衝著大中型企業安全合規清單精準勾選的，打消了 IT 部門最大的顧慮。

對行業而言，智慧體產品的競爭正在從單純拼模型智商，迅速轉向拼系統工程與防禦深度。光會做任務已經不夠了，誰能證明自己的 Agent 在碰上惡意網頁和注入攻擊時不失控、不洩密，誰才能拿到高價值的企業訂單。

在我們看來，Perplexity 這套設計聰明在它沒有完全把安全押注在模型的道德感或單一防護詞上，而是把軟硬體防線拆開：底層的 Firecracker 確保就算程式碼被玩壞了也穿透不了沙箱，頂層的 BrowseSafe 和工具護欄則負責盯緊邏輯漏洞。不過潛在的隱患依然存在，外部網頁的內容千奇百怪，多層分類器並行掃描必然會帶來額外的延遲和代幣消耗，在極複雜的長流程任務中，如何在安全停機的準確率和任務執行的順暢度之間保持平衡，還得看後續實際執行的考驗。