PerplexityがリスクのあるAIエージェントを監視およびブロックするためのNumbatをオープンソース化

Why it matters

Coding agents can read files, run commands and touch credentials. Numbat puts detection at the endpoint where those actions occur and exposes Perplexity's internal control layer.

Perplexity、共同創業者であるAravind Srinivas (@AravSrinivas)が率いるAI検索企業は、7月29日にNumbatをオープンソース化し、従業員のコンピュータ上で動作するAIエージェント向けの共通の監視および強制レイヤーをセキュリティチームに提供しました。PerplexityはそのリリースをXのスレッドで発表し、コードをApache 2.0 licenseの下で公開しました。

この公開は、Perplexityを元々の回答エンジンから、ユーザーのためにリサーチ、コーディング、ソフトウェアの運用を行うエージェントへと移行させようというSrinivasの取り組みに続くものです。SrinivasはIIT Madrasで学んだ後にUC BerkeleyでコンピュータサイエンスのPhDを取得し、OpenAIでインターンを経て研究者として働いた後に2022年にPerplexityを立ち上げたと、Berkeley Engineeringのプロフィールは伝えています。Numbatはその変化によって生じたセキュリティ上の問題に対処します：エージェントはコマンドを実行し、ファイルを調べ、資格情報にアクセスし、企業システムに接続されたマシン上で長時間にわたってタスクを遂行することができます。

Numbatが監視するもの

NumbatはmacOS、Linux、Windows向けの単一のGoバイナリとして提供されます。lifecycle hooksやプラグイン、OpenTelemetryやHTTPログ、ディスクに保存されたセッションアーティファクトからエージェントの活動を収集します。ソフトウェアはそれらの入力を共通のイベント形式に変換し、Common Expression Language（CEL）を用いて記述されたルールでローカル評価します。

そのアーキテクチャにより、Numbatは現在の活動を監視するとともに、過去のセッションを再構築できます。scan機能は、Numbatがセッション後にインストールされた場合でも、対応するトランスクリプトやその他のアーティファクトを読み取ることができます。通常の出力は完全な生トランスクリプトを除外しますが、オペレーターは構造化されたレコードをローカルファイルまたはHTTP先に送信するよう選択できます。

プロジェクトのcoverage documentationは、Claude Code、Codex、Gemini CLI、Cursor、Windsurf、GitHub Copilot CLI、OpenCode、OpenClaw、Piなどのエージェント向け統合を一覧化しています。カバレッジの深さはハーネスによって異なります。ある統合は保存セッションの分析、ライブキャプチャ、事前アクション強制をサポートする一方で、他の統合はその制御面の一部しか公開していません。

Perplexityは52のルールを11の振る舞いカテゴリに整理して同梱していると、その技術記事は伝えています。あるルールはsudoersポリシーを変更しようとする試みやパスワード不要のrootアクセスを作成しようとする試みを検出します。別のルールは、シークレット管理ツールからの読み取りを、後に curl や wget を使ったデータ送信の試みと相関させます。オペレーターはNumbatのソースコードを変更せずに独自のYAMLルールを追加できます。

ブロックには明示的なポリシー判断が必要

Numbatの目玉機能は、選択したエージェントのアクションを実行前に停止するオプションですが、デフォルト設定は意図的により狭いものになっています。Perplexityが配布するすべてのルールはモニター専用です。管理者はルールをコピーまたは置き換え、強制用にマークし、強制を有効にしてNumbatをインストールする必要があります。ブロックは、基盤となるエージェントが同期的な事前アクションフックを公開している場合にのみ動作します。

この区別は、Numbatを可観測性ツールではなく制御手段として評価する企業にとって重要です。例えば、現行のカバレッジマトリクスではOpenCodeはモニター専用です。保存されたアーティファクトや非同期のテレメトリから収集された活動は調査を支援できますが、既に発生したアクションを止めることはできません。リポジトリはまた、クラウドホストされた一部ツールをカバーしないローカルフックなど、ホスト固有のギャップも文書化しています。

したがって、Numbatの実際の強度は各ハーネス統合の忠実度と、エージェントベンダーが安定したフック、ログ、アーティファクト形式を維持するかどうかに依存します。Perplexityはそれら異なるインターフェースの上に1つのイベントおよびポリシーレイヤーを構築しており、セキュリティチームが従業員が採用する各コーディングエージェントに対して別々のセンサーを作る必要性を減らしています。

Perplexityは内部の制御レイヤーを公開する

Perplexityによれば、同社は既に何千もの自社エンドポイントにNumbatを展開し、Claude Code、Codex、OpenCode、Piを使用するエンジニアの監視を行っています。各インストールは活動をローカルに記録し、構造化されたイベントと所見をPerplexityの中央セキュリティシステムに送ります。

Perplexity Computerはそのテレメトリを定期的にレビューし、疑わしいセッションを再構築し、Numbatがブロックしたアクションに追加の精査を行うとPerplexityは述べています。そのエージェントはルールセットのギャップも検査し、検出の変更を提案し、テストを行い、人間のレビューのためにプルリクエストを開きます。承認されたルールはPerplexityのフリートに再配備されます。

その内部ループがオープンソース公開のタイミングを説明しています。Perplexityはより広範で長時間実行されうるアクションを取れるエージェント製品を販売しており、導入後にそれらのシステムをどのように観測できるかを企業に示すプレッシャーがあります。Numbatは個々のモデルの外側に位置するセキュリティレイヤーをPerplexityに提供し、自社製品と並んで競合するエージェントハーネスもカバーできます。

その設計は、AIエージェント向けに適応されたエンドポイント検出・対応ソフトウェアに似ています：発生場所で挙動を収集し、正規化し、リスクの高いシーケンスを検出し、必要に応じてホストが実行する前にアクションを拒否する。Numbatをオープンソース化することで、セキュリティチームは閉じたゲートウェイに依存するのではなく、そのレイヤーを検査・修正できるようになります。強制システムとしての価値は依然として各エージェントが提供するフックと、管理者が有効化するポリシーに依存します。