ஒப்படைக்கப்பட்ட அதிகாரம் என்பதன் பொருள்
ஒப்படைக்கப்பட்ட அதிகாரம் என்பது ஒரு நபர் (அல்லது ஒரு அமைப்பு) ஒரு AI agent-க்கு தமது சார்பில் செயல்பட அளிக்கும் அனுமதி. ஒரு assistant உங்கள் calendar-ல் ஒரு meeting-ஐ book செய்வதும், உங்கள் பெயரில் ஒரு support ticket-ஐ file செய்வதும் அல்லது supplier's portal-இலிருந்து ஒரு invoice-ஐ retrieve செய்வதும், அது உங்களிடமிருந்து தோன்றிய அதிகாரத்தைப் பயன்படுத்துகிறது.
நல்ல delegation-க்கு மூன்று பண்புகள் உள்ளன: அது scoped (agent சில விஷயங்களை மட்டுமே செய்ய முடியும், அனைத்தையும் அல்ல), bounded in time (அது காலாவதியாகும் அல்லது revoke செய்ய முடியும்) மற்றும் attributable (பெறும் application எந்த நபரின் அதிகாரம் பயன்படுத்தப்படுகிறது என்பதை கூற முடியும்).
applications-க்கு இது ஏன் முக்கியம்
ஒரு application's பார்வையில், ஒரு agent request மூன்று தனித்த கேள்விகளை எழுப்புகிறது:
- இதனை எந்த client அனுப்பியது? அது agent identity ஆகும், signed requests அதை நிறுவ முடியும் (see HTTP Message Signatures).
- இது எந்த நபரின் அதிகாரத்தின் கீழ் செயல்படுகிறது? அது delegation.
- இந்த action-க்கு அந்த அதிகாரம் போதுமா? அது authorization, application-இன் சொந்த policy மூலம் தீர்மானிக்கப்படும்.
ஒரு well-known assistant operator-இலிருந்து வரும் signed request முதல் கேள்விக்கு நல்ல பதிலை அளிக்கிறது. அது இரண்டாவது கேள்வியைப் பற்றி தனியாக எதையும் சொல்லாது. அந்த assistant உங்கள் users-இல் ஒருவருக்காக, உங்கள் user அல்லாத ஒருவருக்காக, அல்லது முழுமையாக தனது சொந்த முன்முயற்சியால் செயல்படக்கூடும். client identity-யை ஒரு நபரின் consent-க்கு ஆதாரமாக கருதுவது agent-facing design-இல் ஏற்படும் மிக பொதுவான தவறுகளில் ஒன்று. See what signed AI agent requests prove, and what they don't.
delegation பொதுவாக எப்படிப் பதிவு செய்யப்படுகிறது
- OAuth-style grants. நபர் உங்கள் application-இல் sign in செய்து, OAuth 2.0 (RFC 6749)-இல் வரையறுக்கப்பட்டபடி, வரையறுக்கப்பட்ட scopes உடைய ஒரு token-ஐ agent-க்கு வழங்குகிறார். பிறகு அந்த token எந்த நபரின் அதிகாரத்தைத் தாங்குகிறது என்பது உங்கள் application-க்கு தெளிவாகத் தெரியும், மேலும் grant-ஐ revoke செய்ய முடியும் (RFC 7009).
- Account-scoped API keys - ஒரு user ஒரு குறிப்பிட்ட integration-க்கு உருவாக்கும் keys, ideally குறுகிய permissions உடன்.
- In-app confirmations - உயர்ந்த தாக்கம் உள்ள actions-க்கு, agent தயார் செய்த ஒரு குறிப்பிட்ட action-ஐ நபர் approve செய்யும் போது.
- Token-level delegation claims. OAuth 2.0 Token Exchange (RFC 8693) ஒரு
act(actor) claim-ஐ வரையறுக்கிறது, அது ஒரு தரப்பு மற்றொரு தரப்புக்காக செயல்படுவதை பதிவு செய்கிறது. requests-இல் agent delegation-ஐ வெளிப்படுத்தும் புதிய work இன்னும் வளர்ச்சியில் உள்ளது, மேலும் applications எந்த delegation claim-யையும் வெளிப்படையாக ஏற்றுக்கொள்ளாமல், தங்கள் சொந்த records-க்கு எதிராக சரிபார்க்க வேண்டும்.
பொதுவான தவறான புரிதல்கள்
- "Agent verified என்றால், user அதை approve செய்துவிட்டார்." Verification client-ஐ அடையாளம் காண்கிறது. Approval உங்கள் application நம்பும் ஒரு channel மூலமாக நபரிடமிருந்து வர வேண்டும்.
- "என் user's session-ஐ பயன்படுத்தும் agent சரி." இருக்கலாம், ஆனால் அந்த session interactive human use-க்கு issued செய்யப்பட்டது. பல applications actions attributive ஆகவும் revocable ஆகவும் இருக்க automation-க்கு dedicated, scoped grant-ஐ விரும்புகின்றன.
- "Delegation என்பது எல்லாமோ அல்லது ஒன்றுமோ." மிகப் பாதுகாப்பான delegations குறுகியவை: read access பரவலாக, write access குறிப்பிட்ட actions-க்கு மட்டும், மேலும் திரும்பப்பெற முடியாத எதற்கும் confirmation.
Proof of Actor இதனுடன் எப்படி தொடர்புபடுகிறது
Proof of Actor, ஒரு interaction agent-driven ஆக இருந்ததா அல்லது AI-assisted ஆக இருந்ததா, மேலும் எந்த basis-இல் என்பதை பார்க்க உதவுகிறது: verified, declared, inferred அல்லது unknown. அந்த context delegation கேள்விகள் எங்கு எழுகின்றன என்பதைச் சொல்கிறது, உதாரணமாக ஒரு மனித account session-இல் செயல்படும் ஒரு autonomous agent. Proof of Actor delegation credentials-ஐ issue செய்வதோ validate செய்வதோ இல்லை, மேலும் ஒரு Agent result ஒரு நபர் action-ஐ authorized செய்தார் என்பதைக் குறிக்காது. உங்கள் application's own grants, scopes மற்றும் confirmations அதனை தீர்மானிக்கின்றன, மேலும் உண்மையான traffic-ஐ நீங்கள் observe செய்த பின் Route, ஒவ்வொரு route-க்கும் சரியான policy-ஐ பயன்படுத்த உதவுகிறது. policy patterns-க்கு, see designing app-level policies for humans and AI agents.
Read what the evidence can and cannot establish, or apply for early access.
Sources
- RFC 6749: The OAuth 2.0 Authorization Framework: resource owner-இடமிருந்து client-க்கு scoped grants
- RFC 7009: OAuth 2.0 Token Revocation: delegated token-ஐ revoke செய்வது
- RFC 8693: OAuth 2.0 Token Exchange: delegation-க்கான
act(actor) claim