प्रत्यायोजित अधिकार का अर्थ क्या है
प्रत्यायोजित अधिकार वह अनुमति है जो कोई व्यक्ति (या संगठन) किसी AI agent को अपने लिए कार्य करने के लिए देता है। जब कोई assistant आपके calendar में meeting बुक करता है, आपके नाम से support ticket दर्ज करता है, या supplier के portal से invoice प्राप्त करता है, तो वह उस अधिकार का उपयोग कर रहा होता है जो आपसे उत्पन्न हुआ था।
अच्छे delegation की तीन विशेषताएं होती हैं: यह scoped होता है (agent कुछ काम कर सकता है, सब कुछ नहीं), bounded in time होता है (यह expire होता है या revoke किया जा सकता है) और attributable होता है (receiving application यह बता सकता है कि किसके अधिकार का उपयोग हो रहा है)।
Applications के लिए यह क्यों महत्वपूर्ण है
Application के दृष्टिकोण से, agent request तीन अलग-अलग प्रश्न उठाती है:
- यह किस client ने भेजी? यह agent identity है, जिसे signed requests स्थापित कर सकते हैं (देखें HTTP Message Signatures)।
- यह किसके अधिकार के तहत कार्य कर रही है? यह delegation है।
- क्या यह अधिकार इस action के लिए पर्याप्त है? यह authorization है, जिसे application की अपनी policy तय करती है।
एक well-known assistant operator से आया signed request पहले प्रश्न का अच्छा उत्तर देता है। यह अपने आप में दूसरे प्रश्न के बारे में कुछ नहीं बताता। Assistant आपके किसी user के लिए, आपके user न होने वाले किसी व्यक्ति के लिए, या पूरी तरह अपनी पहल पर कार्य कर सकता है। Client identity को किसी व्यक्ति की सहमति का प्रमाण मानना agent-facing design में सबसे आम गलतियों में से एक है। देखें signed AI agent requests क्या साबित करते हैं, और क्या नहीं।
Delegation आम तौर पर कैसे व्यक्त की जाती है
- OAuth-style grants. व्यक्ति आपके application में sign in करता है और agent को सीमित scopes वाला token देता है, जैसा कि OAuth 2.0 (RFC 6749) में परिभाषित है। फिर आपका application ठीक-ठीक जानता है कि token किसके अधिकार को वहन करता है, और grant revoke किया जा सकता है (RFC 7009)।
- Account-scoped API keys जिन्हें कोई user किसी specific integration के लिए बनाता है, आदर्श रूप से सीमित permissions के साथ।
- In-app confirmations उच्च-प्रभाव वाले actions के लिए, जहां व्यक्ति उस specific action को approve करता है जिसे agent ने तैयार किया है।
- Token-level delegation claims. OAuth 2.0 Token Exchange (RFC 8693) एक
act(actor) claim परिभाषित करता है जो एक party के दूसरी party की ओर से कार्य करने को दर्ज करता है। Requests में agent delegation को व्यक्त करने पर नया काम अभी विकसित हो रहा है, और applications को किसी भी delegation claim को सतही रूप से स्वीकार करने के बजाय अपने records से verify करना चाहिए।
आम गलतफहमियां
- "अगर agent verified है, तो user ने उसे approve किया होगा." Verification client की पहचान करता है। Approval व्यक्ति से, उस channel के माध्यम से आना चाहिए जिस पर आपका application भरोसा करता है।
- "मेरे user के session का उपयोग करने वाला agent ठीक है." हो सकता है, लेकिन session interactive human use के लिए issue किया गया था। कई applications automation के लिए एक dedicated, scoped grant पसंद करते हैं ताकि actions attributable और revocable हों।
- "Delegation या तो सब कुछ है या कुछ भी नहीं." सबसे सुरक्षित delegations संकीर्ण होती हैं: व्यापक रूप से read access, केवल specific actions के लिए write access, और irreversible किसी भी चीज़ के लिए confirmation।
Proof of Actor का इससे क्या संबंध है
Proof of Actor आपको यह देखने में मदद करता है कि कोई interaction agent-driven है या AI-assisted, और किस basis पर: verified, declared, inferred या unknown। यह context बताता है कि delegation से जुड़े प्रश्न कहां उठते हैं, उदाहरण के लिए human account session के भीतर कार्य करने वाला एक autonomous agent। Proof of Actor delegation credentials जारी नहीं करता या validate नहीं करता, और Agent result कभी यह imply नहीं करता कि किसी व्यक्ति ने action authorize किया था। आपके application के अपने grants, scopes और confirmations यह तय करते हैं, और Route आपको वास्तविक traffic देखने के बाद प्रति route सही policy लागू करने देता है। Policy patterns के लिए, देखें humans और AI agents के लिए app-level policies कैसे डिज़ाइन करें।
पढ़ें evidence क्या स्थापित कर सकता है और क्या नहीं, या early access के लिए apply करें।
Sources
- RFC 6749: The OAuth 2.0 Authorization Framework: resource owner से client तक scoped grants
- RFC 7009: OAuth 2.0 Token Revocation: delegated token को revoke करना
- RFC 8693: OAuth 2.0 Token Exchange: delegation के लिए
act(actor) claim