Agent authorization ৰ অৰ্থ কি
Agent authorization হৈছে এটা AI agent-ক কি কৰিবলৈ অনুমতি আছে সেই সিদ্ধান্ত: সি কোন route call কৰিব পাৰে, কোন data read কৰিব পাৰে, কোন action ল'ব পাৰে, আৰু কিমান volume-ত। ই agent identity-ৰ পৰা পৃথক, যাৰ বিষয় হৈছে কোন agent, বা কোন operator-ৰ agent, request কৰিছে সেইটো স্থাপন কৰা।
এই দুয়োটা সহজে একেলগে মিশি যায়, কাৰণ সিহঁত প্ৰায়ে একেলগে আহে। এটা signed request-এ আপোনাক কয় কোনে পঠিয়ালে। ই আপোনাক নকয় যে সেই sender-ক account change কৰা, order place কৰা, বা data export কৰাৰ অনুমতি হ’ব লাগে নে নহয়। Identity হৈছে evidence; authorization হৈছে policy. আমাৰ signed AI agent request-এ কি প্ৰমাণ কৰে, আৰু কি নকৰে বিষয়ে থকা post-এ এই পাৰ্থক্য খুলে দেখুৱায়।
এই পাৰ্থক্য কিয় গুৰুত্বপূর্ণ
Application-সমূহে ইতিমধ্যে human user-ৰ বাবে authentication আৰু authorization পৃথক কৰে: লগ-ইন কৰিলে আপুনি কোন সেইটো প্ৰমাণ হয়, আৰু roles আৰু permissions-এ কি কৰিব পাৰিব সেইটো ঠিক কৰে। Agent-ৰ ক্ষেত্ৰতো একে পৃথকীকৰণ লাগে, লগতে অলপ অধিক সাৱধানতা:
- Identity শক্তিশালী হ'ব পাৰে কিন্তু permission নাথাকিব পাৰে। একেবাৰে valid HTTP message signature থকা এটা crawler-ৰ write endpoint call কৰাৰ স্বাভাৱিক অধিকাৰ নাই।
- Permission শক্তিশালী identity নাথাকিলেও থাকিব পাৰে। Customer-ৰ API key ব্যৱহাৰ কৰা এটা agent-ক সেই key-য়ে authorize কৰে, যদিও কোন agent software-এ সেইটো ধৰি আছে সেয়া একোই চিনাক্ত নকৰে।
- Agent-ৰ পিছৰৰ ব্যক্তি গুৰুত্বপূর্ণ। যেতিয়া এটা agent-এ কাৰোবাৰ হৈ কাম কৰে, প্ৰশ্নটো হয় সেই ব্যক্তিয়ে তাৰ authority দিছিল নে নাই (দেখক delegated authority )।
এইবোৰক এটা একক check-লৈ গোটালে দুটা failure mode হয়: human login নাথাকিলেহে বৈধ automation block কৰা, অথবা এটা ভালকৈ চিনাক্ত কৰা agent-ক এনে action-ৰ বাবে বিশ্বাস কৰা যিবোৰ কৰিবলৈ সি কেতিয়াও নিৰ্ধাৰিত নাছিল।
Authorization সাধাৰণতে কেনেকৈ প্ৰকাশ কৰা হয়
বেছিভাগ application-এ ইতিমধ্যে থকা mechanism ব্যৱহাৰ কৰি agent authorize কৰে:
- Credential আৰু scope. API key বা OAuth 2.0 token, যাৰ scope integration-ৰ প্ৰয়োজন অনুসৰি সীমিত। MCP server-সমূহে একে model ব্যৱহাৰ কৰে: MCP authorization specification-এ protected server-ক OAuth 2.1 resource server হিচাপে গণ্য কৰে।
- Route-level policy. Known agent-ৰ বাবে read-only route খোলা; write route-ৰ বাবে account-ৰ সৈতে সংযুক্ত credential প্ৰয়োজন।
- Risk tier. Low-impact action বেছিকৈ allow, high-impact action-ৰ বাবে অধিক শক্তিশালী credential, confirmation বা review প্ৰয়োজন।
- Rate limit আৰু quota প্ৰতিটো operator-ৰ বাবে, প্ৰতিটো credential-ৰ বাবে বা প্ৰতিটো route-ৰ বাবে।
Agent identity evidence এই সিদ্ধান্তবোৰলৈ এটা input হিচাপে যায়। এটা বাস্তৱিক approach-ৰ বাবে মানৱ আৰু AI agent-ৰ বাবে app-level policy design কৰা চাওক। ইয়াৰ দ্বাৰা আপুনি verified operator-ৰ সৈতে anonymous client-ৰ দৰে আচৰণ নকৰে, কিন্তু permission নিজেই এতিয়াও আপোনাৰ policy-ৰ পৰাই আহে।
সাধাৰণ ভুল ধাৰণা
- "Verified agent মানে allowed." Verification-এ এটা request attribute কৰে। আপোনাৰ policy-এ এতিয়াও ঠিক কৰে সেই attributed party-এ কি কৰিব পাৰিব।
- "মানব নহ'লে agent block কৰিব লাগে." বহু agent বৈধ অংশগ্ৰহণকাৰী। ভাল প্ৰশ্নটো হৈছে route by route প্ৰতিটো actor-ৰ ধৰণে কি কৰিবলৈ অনুমতি থাকিব লাগে।
- "Behavior-ৰ পৰা authorization infer কৰিব পাৰি." Behavior-এ present actor-ৰ ধৰণ সম্পর্কে confidence বঢ়াব বা কমাব পাৰে। ই একা permission নিদিয়াৰ কথা।
Proof of Actor এইটো কেনেকৈ দেখে
Proof of Actor-এ evidence question-ৰ উত্তৰ দিয়ে: কোন ধৰণৰ actor present আছে, কোন basis-ত (verified, declared, inferred বা unknown), আৰু কি known আৰু কি not known। ই ইচ্ছাকৃতভাৱে permission ঠিক নকৰে। এটা Agent result, একেবাৰে verified হ'লেও, কেতিয়াও authorization সূচায় নকৰে। Route-ত, আপোনাৰ application-এ actor result-টো নিজৰ credential, scope আৰু risk tier-ৰ সৈতে মিলাই প্ৰতিটো interaction allow, adapt, challenge, review বা limit কৰে, আৰম্ভণিতে observation mode-ত যাতে কোনো কিবা enforce কৰাৰ আগেয়ে outcome-সমূহ পৰীক্ষা কৰিব পাৰে।
আপোনাৰ app-ত সিদ্ধান্তবোৰ কেনেকৈ fit হয় সেই বিষয়ে অধিক জানক, APIs আৰু MCP servers use case চাওক, অথবা early access-ৰ বাবে আবেদন কৰক।
Sources
- RFC 6749: The OAuth 2.0 Authorization Framework: clients-ৰ বাবে scoped token
- MCP specification 2026-07-28: Authorization: MCP server-সমূহৰ বাবে OAuth-based authorization
- RFC 9421: HTTP Message Signatures: এটা signed request কি স্থাপন কৰে