સોંપાયેલ અધિકારનો અર્થ શું છે
સોંપાયેલ અધિકાર એ પરવાનગી છે જે એક વ્યક્તિ (અથવા સંસ્થા) AI agent ને પોતાની તરફથી કામ કરવા માટે આપે છે. જ્યારે કોઈ assistant તમારા calendar માં meeting book કરે છે, તમારા નામે support ticket દાખલ કરે છે અથવા supplier's portalમાંથી invoice મેળવે છે, ત્યારે તે તમારી પાસેથી ઉદ્ભવેલા અધિકારનો ઉપયોગ કરે છે.
સારી delegation ની ત્રણ વિશેષતાઓ છે: તે scoped હોય છે (agent કેટલીક બાબતો કરી શકે, બધી નહીં), bounded in time હોય છે (તેની અવધિ પૂરી થાય છે અથવા તેને revoke કરી શકાય છે) અને attributable હોય છે (મળતું application ઓળખી શકે કે કોનો અધિકાર ઉપયોગમાં લેવાયો છે).
apps માટે તેનું મહત્વ કેમ છે
એક application's દૃષ્ટિએ, agent request ત્રણ અલગ પ્રશ્નો ઊભા કરે છે:
- આ request કયા client એ મોકલી? આ છે agent identity, જેને signed requests સ્થાપિત કરી શકે છે (જુઓ HTTP Message Signatures).
- તે કયા અધિકાર હેઠળ કામ કરી રહ્યું છે? આ છે delegation.
- શું તે અધિકાર આ action માટે પૂરતો છે? આ છે authorization, જે application's પોતાની policy નક્કી કરે છે.
એક well-known assistant operator તરફથી આવેલી signed request પ્રથમ પ્રશ્નનો સારો જવાબ આપે છે. પરંતુ તે પોતાના બળ પર બીજા પ્રશ્ન વિશે કંઈ કહેતું નથી. assistant તમારા એક user માટે કામ કરી શકે છે, તમારા user ન હોય એવા કોઈ માટે, અથવા સંપૂર્ણપણે પોતાની પહેલ પર. client identity ને વ્યક્તિની સંમતિના proof તરીકે માનવું agent-facing design માં સૌથી સામાન્ય ભૂલોમાંથી એક છે. જુઓ signed AI agent requests શું સાબિત કરે છે, અને શું નથી સાબિત કરતાં.
delegation સામાન્ય રીતે કેવી રીતે વ્યક્ત થાય છે
- OAuth-style grants. વ્યક્તિ તમારા application માં sign in કરે છે અને OAuth 2.0 (RFC 6749) મુજબ agent ને limited scopes સાથે token આપે છે. ત્યારબાદ તમારું application ચોક્કસ જાણે છે કે token કોના અધિકારને વહન કરે છે, અને grant ને revoke કરી શકાય છે (RFC 7009).
- Account-scoped API keys જે user કોઈ ચોક્કસ integration માટે બનાવે છે, ideally narrow permissions સાથે.
- In-app confirmations ઊંચા અસરવાળા actions માટે, જ્યાં વ્યક્તિ agent એ તૈયાર કરેલું ચોક્કસ action approve કરે છે.
- Token-level delegation claims. OAuth 2.0 Token Exchange (RFC 8693) એક
act(actor) claim વ્યાખ્યાયિત કરે છે જે એક પક્ષ બીજા માટે કામ કરે છે તે નોંધે છે. requests માં agent delegation વ્યક્ત કરવા માટેનું નવું કામ હજી વિકસતું છે, અને applications એ કોઈપણ delegation claim ને પોતાની records સામે ચકાસવું જોઈએ, તેને સીધું સાચું માનીને નહીં સ્વીકારવું જોઈએ.
સામાન્ય ગેરસમજો
- "જો agent verified છે, તો user એ તેને approve કર્યું." Verification client ને ઓળખે છે. Approval વ્યક્તિ પાસેથી આવવું જોઈએ, એવા channel દ્વારા જેને તમારું application trust કરે છે.
- "મારા user ના session નો ઉપયોગ કરતો agent ઠીક છે." કદાચ તે હોઈ શકે, પણ session interactive human use માટે issued થયો હતો. ઘણી applications automation માટે dedicated, scoped grant પસંદ કરે છે જેથી actions attributable અને revocable રહે.
- "Delegation બધું અથવા કંઈ નહીં." સૌથી સુરક્ષિત delegations સંકુચિત હોય છે: વાંચવાનો access વ્યાપક, લખવાનો access માત્ર ચોક્કસ actions માટે, અને કંઈ પણ પાછું ફેરવી ન શકાય એવું હોય ત્યારે confirmation.
Proof of Actor તેનો સંબંધ કેવી રીતે છે
Proof of Actor તમને જોવા દે છે કે કોઈ interaction agent-driven છે કે AI-assisted, અને કયા આધાર પર: verified, declared, inferred અથવા unknown. આ context તમને બતાવે છે કે delegation ના પ્રશ્નો ક્યાં ઊભા થાય છે, ઉદાહરણ તરીકે human account sessionની અંદર કામ કરતો autonomous agent. Proof of Actor delegation credentials issue કે validate કરતું નથી, અને કોઈ Agent result ક્યારેય એવું સૂચવતું નથી કે વ્યક્તિએ action authorize કર્યું હતું. તમારા application's પોતાના grants, scopes અને confirmations આ નક્કી કરે છે, અને Route તમને real traffic observe કર્યા પછી route પ્રમાણે યોગ્ય policy લાગુ કરવા દે છે. policy patterns માટે, જુઓ humans અને AI agents માટે app-level policies ડિઝાઇન કરવી.
પુરાવો શું સ્થાપિત કરી શકે છે અને શું નહીં વાંચો, અથવા early access માટે અરજી કરો.
સ્ત્રોતો
- RFC 6749: The OAuth 2.0 Authorization Framework: resource owner તરફથી client માટે scoped grants
- RFC 7009: OAuth 2.0 Token Revocation: delegated token ને revoke કરવું
- RFC 8693: OAuth 2.0 Token Exchange: delegation માટે
act(actor) claim