ข้ามไปยังเนื้อหาหลัก
การระบุเอเจนต์ AI

การระบุเอเจนต์ AI สำหรับ API

API ของคุณรู้อยู่แล้วว่าคีย์ใดเป็นผู้ส่งคำขอ Proof of Actor บอกคุณได้ว่าผู้กระทำที่อยู่เบื้องหลังคืออะไร หลักฐานใดรองรับผลนั้น และให้โค้ดของคุณตัดสินใจว่าควรเกิดอะไรขึ้นต่อไป

ขอสิทธิ์เข้าถึงก่อนใครสำรวจวิธีการทำงาน
Toshendra Sharma

โดย Toshendra Sharmaผู้ก่อตั้งและ CEO, AgentCredia · Updated November 13, 2026

API ของคุณรู้คีย์ แต่ไม่รู้จักผู้กระทำ

ทุก API request มาพร้อมหลักฐานบางอย่างว่าใครเป็นผู้จ่ายค่าบริการให้กับคำขอนั้น เช่น API key, OAuth token หรือ session หลักฐานนั้นตอบได้ดีเพียงหนึ่งคำถาม คือบอกว่า account ใดเป็นผู้รับผิดชอบต่อการเรียกนั้น แต่ไม่ได้บอกว่าตอนนี้อะไรคือสิ่งที่กำลังส่งคำขออยู่จริง

API key เพียงคีย์เดียวอาจถูกใช้โดย developer ที่กำลังทดสอบใน terminal, โดย backend job ที่ทำงานตามกำหนดเวลา, โดยคนที่ทำงานผ่าน AI assistant, และโดย autonomous agent ที่ได้รับคีย์ไปพร้อมคำสั่งให้ทำงานให้เสร็จ เหล่านี้คือผู้กระทำคนละแบบทั้งหมด พวกเขามีจังหวะการทำงานที่ต่างกัน ความล้มเหลวที่ต่างกัน และความเสี่ยงที่ต่างกัน หากปฏิบัติต่อทุกกรณีเหมือนกัน คุณจะลงโทษการทำงานอัตโนมัติที่ถูกต้องซึ่งลูกค้าพึ่งพาอยู่เกินไป หรือไม่ก็ปกป้องส่วนของ API ไม่เพียงพอในจุดที่ไม่ควรถูกขับเคลื่อนโดย agent ที่ไม่ได้เฝ้าดูแล

การระบุเอเจนต์ AI สำหรับ API ช่วยปิดช่องว่างนั้น แทนที่จะอนุมานทุกอย่างจากคีย์ คุณจะได้การจัดประเภทผู้กระทำที่อยู่เบื้องหลังแต่ละ request พร้อมหลักฐานที่รองรับผลลัพธ์นั้น นี่คือสิ่งที่ Proof of Actor ถูกสร้างมาเพื่อส่งมอบ และ กรณีใช้งาน API แสดงให้เห็นว่า teams ด้าน API นำไปใช้ทีละ route อย่างไร

ทำไมทีม API จึงต้องมีบริบทของผู้กระทำในตอนนี้

ทราฟฟิกอัตโนมัติไปยัง API ไม่ใช่เรื่องใหม่ สคริปต์, integration และ crawler อยู่ในภาพนี้มาตลอด สิ่งที่เปลี่ยนไปคือชนิดของการทำงานอัตโนมัติ เอเจนต์ AI สามารถอ่านเอกสาร เชื่อมหลายคำสั่งเข้าด้วยกัน ลองใหม่อย่างสร้างสรรค์ และทำงานแทนคนที่ไม่ได้เฝ้าดูทุกขั้นตอน หลายตัวมีประโยชน์และเป็นที่ต้องการ บางตัวสร้างมาไม่ดี และบางตัวก็เป็นภัย

หากไม่มีบริบทของผู้กระทำ ทีม API มักต้องพึ่งเครื่องมือแบบตรงไปตรงมา:

  • Rate limit ต่อ key ซึ่งทำให้เอเจนต์ที่ดีและเอเจนต์ที่ไม่ดีช้าลงเท่าๆ กัน
  • กฎ user-agent ซึ่งพังทันทีเมื่อ client เปลี่ยน header
  • การบล็อกแบบครอบคลุมทั้งหมด ซึ่งผลักการทำงานอัตโนมัติที่ถูกต้องให้ไป scrape web app ของคุณแทน

บริบทของผู้กระทำทำให้คุณตอบสนองได้อย่างแม่นยำ เอเจนต์ที่ลงนามจาก operator ที่คุณรู้จักสามารถได้รับ limit ที่สูงขึ้นบน route แบบอ่านอย่างเดียว ผู้เรียกที่ไม่รู้จักซึ่งแตะ route แบบเขียนอาจถูกขอ credential ที่แข็งแรงกว่า คนที่ใช้ AI assistant สามารถยังคงได้รับประสบการณ์ปกติ ประเด็นไม่ใช่การหยุดเอเจนต์ แต่คือการให้เส้นทางที่เหมาะสมกับผู้เรียกแต่ละแบบ สำหรับสิ่งที่ signed request บอกได้และบอกไม่ได้ โปรดอ่าน สิ่งที่ signed AI agent request พิสูจน์ได้

การระบุเอเจนต์ AI ทำงานอย่างไรใน Proof of Actor

Proof of Actor ใช้กระบวนการที่ยึดหลักฐานก่อนเหมือนกันกับทุก request คุณอ่านคำอธิบายฉบับเต็มได้ที่ How It Works ส่วนด้านล่างคือเวอร์ชันย่อสำหรับทีม API

1. สัญญาณจาก integration ของคุณ

integration ของคุณส่งสัญญาณที่มีอยู่ในบริบทนั้นให้กับ Proof of Actor สำหรับ API โดยทั่วไปหมายถึงบริบทของ request เช่น headers และรายละเอียดของ protocol, request signature แบบเข้ารหัสที่ client ส่งมา และคำประกาศที่ client ระบุเกี่ยวกับตัวเอง แต่ละสัญญาณจะถูกติดป้ายว่ามาจากที่ใด

2. การจัดประเภทพร้อมฐานรองรับ

สัญญาณจะถูกตรวจสอบและรวมเป็นหนึ่งในสี่ class สาธารณะ:

  • Human: สัญญาณที่สังเกตได้บ่งชี้ถึงการโต้ตอบที่มีมนุษย์เป็นผู้กำกับ
  • Human + AI: มีการประกาศหรือการตรวจพบการช่วยเหลือจาก AI โดย integration ที่สามารถสังเกตได้
  • Agent: ทราฟฟิกอัตโนมัติหรือทราฟฟิกที่มีต้นทางจากเอเจนต์ โดยมีตัวตนที่ตรวจสอบได้หรือข้อสรุปที่ระบุเงื่อนไขอย่างรอบคอบรองรับ
  • Unknown: หลักฐานยังไม่สนับสนุนการตัดสินที่เชื่อถือได้

ผลลัพธ์ทุกอันยังมี basis ของมันด้วย คือ verified, declared, inferred หรือ unknown ส่วนนี้คือสิ่งที่ทีม API ให้คุณค่ามากที่สุด request ที่ HTTP message signature ซึ่งนิยามไว้ใน RFC 9421 ตรวจสอบผ่านกับ public key ที่เผยแพร่ไว้ จะถูกรายงานเป็น verified client ที่เพียงแค่ระบุว่าตัวเองเป็น agent จะถูกรายงานเป็น declared รูปแบบที่ดูเหมือนอัตโนมัติจะถูกรายงานเป็น inferred คุณจึงไม่ต้องสงสัยว่าผลลัพธ์นั้นอาศัยคริปโตกราฟีหรือ heuristic กันแน่ evidence basis เป็นส่วนหนึ่งของคำตอบ

3. ผลลัพธ์ที่โค้ดของคุณนำไปใช้ได้

ผลลัพธ์จะส่งกลับไปยังแอปพลิเคชันของคุณพร้อม class, basis และสรุปหลักฐานที่อ่านได้ โค้ดของคุณเป็นผู้ตัดสินใจว่าจะทำอะไรกับมัน ในโหมดสังเกตการณ์ คุณเพียงบันทึกมันไว้ เมื่อพร้อมแล้ว คุณจึงนำมันไปกำหนด route

สิ่งที่ทีมของคุณได้รับ: Detect, Understand, Route

Proof of Actor เป็นผลิตภัณฑ์เดียวที่มีสามความสามารถ

Detect

รวบรวมสัญญาณของผู้กระทำที่ API ของคุณมองเห็นได้ และแยกการยืนยันที่ตรวจสอบแล้วออกจากข้อสรุปเชิงพฤติกรรม signed agent request, client ที่ประกาศตัวเอง สัญญาณของการทำงานอัตโนมัติ และผลลัพธ์ Unknown จะถูกเก็บแยกจากกันทั้งหมด เพื่อไม่ให้ถูกรวมเป็น score เดียวอย่างเงียบๆ

Understand

ดูได้ว่าผู้กระทำใดเรียก route ใด การเปลี่ยนแปลงนั้นเป็นอย่างไรเมื่อเวลาผ่านไป และหลักฐานใดอยู่เบื้องหลังแต่ละการจัดประเภท อัตรา Unknown จะยังคงมองเห็นได้ ซึ่งบอกคุณอย่างชัดเจนว่าขอบเขตการครอบคลุมของคุณสิ้นสุดตรงไหน และสัญญาณที่แข็งแรงกว่าจะช่วยได้ตรงไหน

Route

เขียนนโยบายแยกตาม route และระดับความเสี่ยง: allow, adapt, challenge, review หรือ rate-limit ให้เส้นทางที่มีโครงสร้างและผ่อนปรนสำหรับเอเจนต์ที่ verified บน endpoint แบบอ่านอย่างเดียว ขอ credential ที่แข็งแรงกว่าสำหรับการดำเนินการที่มีผลกระทบสูง กำหนด fallback ที่ชัดเจนสำหรับ Unknown และ timeout เพื่อให้ API ของคุณทำงานได้อย่างคาดเดาได้ไม่ว่าอะไรจะเกิดขึ้น คุณเป็นผู้ตัดสินใจว่านโยบายแต่ละแบบจะ fail อย่างไร ทั้งแบบเปิดหรือแบบปิด โดยอิงจากต้นทุนของความผิดพลาดใน route นั้น

หลักฐานของตัวตน, credentials และ authorization เป็นสามเรื่องที่ต่างกัน

ความผิดพลาดที่พบบ่อยที่สุดในการออกแบบ API ที่รับรู้เอเจนต์คือการยุบสามคำถามที่แยกจากกันให้กลายเป็นคำถามเดียว Proof of Actor แยกสิ่งเหล่านี้ออกจากกัน และการออกแบบของคุณก็ควรทำเช่นเดียวกัน

  1. หลักฐานของตัวตน: ผู้กระทำชนิดใดกำลังเรียกอยู่ และอะไรพิสูจน์มันได้ นี่คือสิ่งที่การระบุเอเจนต์ AI มอบให้ signed signature จะเชื่อม request เข้ากับ key และตัวระบุ operator ที่เผยแพร่ไว้ IETF Web Bot Auth working group ได้รับมอบหมายให้กำหนดมาตรฐานการยืนยันตัวตนเชิงคริปโตกราฟีสำหรับ client แบบอัตโนมัติชนิดนี้ และขอบเขตงานครอบคลุมการยืนยันตัว agent แทนที่จะเป็น end user
  2. Credentials: account ใดรับผิดชอบต่อการเรียกนี้ นี่คือ API key, token หรือ session ที่คุณเป็นผู้ออกและจัดการ
  3. Authorization: ผู้เรียกนี้ได้รับอนุญาตให้ทำสิ่งเฉพาะนี้หรือไม่ นี่คือโมเดลสิทธิ์ของคุณ

เอเจนต์ที่ verified ไม่ได้หมายความว่าเป็นเอเจนต์ที่ได้รับอนุญาตโดยอัตโนมัติ signed signature ที่ถูกต้องไม่ได้พิสูจน์ว่ามีมนุษย์มอบอำนาจให้เอเจนต์ และไม่ได้ทำให้การกระทำที่ร้องขอปลอดภัย Proof of Actor ให้บริบทที่เชื่อถือได้สำหรับคำถามแรก และปล่อยคำถามที่สองกับสามไว้ตรงที่ควรอยู่ คือในแอปพลิเคชันของคุณ อ่านเพิ่มเติมได้ที่ agent authorization และสิ่งที่หลักฐานสามารถและไม่สามารถยืนยันได้ที่ Detection & Limitations

Unknown คือคุณสมบัติ ไม่ใช่ความล้มเหลว

การลงนาม request เป็นทางเลือก และ client ที่ไม่ได้ลงนามสามารถอธิบายตัวเองอย่างไรก็ได้ ระบบที่บังคับให้ทุก request ต้องเป็น Human หรือ Agent จะผิดอย่างมั่นใจในบางครั้ง และคุณจะไม่รู้ว่าเมื่อไร

Proof of Actor รายงาน Unknown เมื่อหลักฐานยังไม่รองรับการตัดสิน Unknown จะไม่ถูกแปลงเป็น Human และจะไม่ถูกถือว่าเป็นอันตรายโดยปริยาย นโยบายของคุณเป็นผู้กำหนดว่า Unknown หมายถึงอะไรในแต่ละ route: อนุญาตบน public read, ใช้การตรวจสอบเดิมของคุณต่อไปเมื่อมีการเปลี่ยนแปลง account, หรือเข้าคิวเพื่อ review ในจุดที่มีความเสี่ยงสูง การทำให้ Unknown มองเห็นได้คือสิ่งที่ทำให้การจัดประเภทอื่นๆ ของคุณน่าเชื่อถือ คู่มือ การจัดการทราฟฟิก Unknown แสดงวิธีออกแบบเพื่อสิ่งนี้

การระบุเอเจนต์ AI เข้ามาอยู่ตรงไหนใน stack ของคุณ

Proof of Actor ทำงานควบคู่ไปกับ gateway, authentication และ rate limiting ที่คุณมีอยู่แล้ว มันไม่ได้มาแทนที่สิ่งเหล่านั้น การวางตำแหน่งที่พบบ่อย ได้แก่:

  • Server-side middleware หน้า route handler ของคุณ เพื่อให้ทุก request ถูกประเมินก่อนที่ business logic จะทำงาน
  • ที่ edge เพื่อให้สัญญาณถูกประเมินก่อนที่ request จะไปถึง origin
  • การ integration HTTP ทั่วไป เพื่อให้ stack ใดๆ สามารถส่งบริบทของ request และรับผลลัพธ์พร้อม basis กลับมาได้

integration จะถูกส่งมอบแบบลงมือทำร่วมกับแต่ละทีม founding ระหว่าง onboarding เพื่อให้เส้นทางสอดคล้องกับสถาปัตยกรรมของคุณ ไม่ใช่ให้สถาปัตยกรรมของคุณต้องปรับตาม developer hub แสดงเส้นทาง integration ที่มีอยู่ในปัจจุบัน หากคุณใช้เครื่องมือสำหรับเอเจนต์ กรณีใช้งาน MCP Servers ครอบคลุมรูปแบบเฉพาะสำหรับการเรียกใช้ tool

เริ่มในโหมดสังเกตการณ์

การติดตั้ง Proof of Actor จะไม่เปลี่ยนแปลงวิธีที่ API ของคุณตอบกลับ ผลลัพธ์จะถูกบันทึกไว้ เพื่อให้ทีมของคุณสามารถเปรียบเทียบกับผลลัพธ์ที่คุณรู้อยู่แล้ว ดูว่าเอเจนต์ไปที่ไหนจริง วัดอัตรา Unknown ในแต่ละ route และตรวจทานการจัดประเภทใดก็ตามที่ดูไม่ถูกต้อง หลังจากนั้นเท่านั้นคุณจึงเปิดใช้นโยบายทีละ route เมื่อหลักฐานรองรับ

นี่คือวิธีทยอยเปิดใช้การระบุเอเจนต์ AI โดยไม่ทำให้ลูกค้าของคุณประหลาดใจหรือทำให้ integration ที่พวกเขาพึ่งพาเสียหาย คู่มือ การเปิดใช้นโยบายที่รับรู้ผู้กระทำอย่างปลอดภัย จะพาไปทีละขั้นตอน

เข้าร่วมโปรแกรม founding developer

Proof of Actor อยู่ใน private beta กับกลุ่มเล็กๆ ของทีมพัฒนา founding ทีมที่ได้รับคัดเลือกสามารถใช้งานได้ฟรีสูงสุด 12 เดือน ภายในข้อจำกัดการใช้งานที่ตกลงกันระหว่าง onboarding พร้อมการสนับสนุนด้าน integration โดยตรงจากวิศวกรของเรา และมีอิทธิพลจริงต่อสิ่งที่เราจะสร้างต่อไป

หากคุณดูแล API และต้องการรู้ว่าใครเป็นผู้เรียกมันจริงๆ สมัครขอสิทธิ์เข้าถึงล่วงหน้า เล่าให้เราฟังเกี่ยวกับ API ของคุณ, route ที่คุณให้ความสำคัญมากที่สุด และการตัดสินใจที่คุณจะทำต่างออกไปเมื่อมีบริบทของผู้กระทำ เราจะบอกคุณว่า Proof of Actor เหมาะสมอย่างไร

แหล่งอ้างอิง

สำหรับนักพัฒนา

What your code receives

Every interaction resolves to one result record. Your application reads the class and the basis and applies its own policy.

Result record
{
  "route": "GET /api/v1/catalog",
  "class": "agent",
  "basis": "verified",
  "evidence": [
    { "signal": "http_message_signature", "result": "valid", "keyid": "assistant.example" },
    { "signal": "client_declaration", "value": "assistant.example" }
  ],
  "observed_at": "2026-11-13T10:42:07Z"
}
class
Human, Human + AI, Agent หรือ Unknown
basis
ระดับความแข็งแรงของหลักฐาน: Verified, Declared, Inferred หรือ Unknown
evidence
สัญญาณที่อยู่เบื้องหลังผลลัพธ์ เพื่อให้ทีมของคุณเห็นเหตุผล

เริ่มในโหมด observation: บันทึกผลลัพธ์ไว้ข้าง log ของคุณ และไม่เปลี่ยนแปลงอะไรจนกว่าคุณจะเลือกนโยบาย อ่านคู่มือการเชื่อมต่อ Node.js

คำถามที่พบบ่อย

การระบุเอเจนต์ AI ต่างจากการยืนยันตัวตนด้วย API key อย่างไร

API key บอกคุณได้ว่า account ใดส่งคำขอ การระบุเอเจนต์ AI บอกคุณได้ว่าผู้กระทำชนิดใดอยู่เบื้องหลังคำขอนั้น และหลักฐานใดรองรับข้อสรุปนั้น คุณต้องใช้ทั้งสองอย่าง เพราะทั้งคู่ตอบคำถามคนละเรื่อง

Proof of Actor ระบุเอเจนต์ AI ทุกตัวที่เรียก API ของฉันได้หรือไม่

Proof of Actor จัดประเภททุก request ที่เห็นเป็น Human, Human + AI, Agent หรือ Unknown และระบุฐานของแต่ละผล เมื่อหลักฐานยังไม่เพียงพอ ผลลัพธ์จะเป็น Unknown แทนการเดา

การระบุว่าเป็นเอเจนต์หมายความว่าเอเจนต์นั้นได้รับอนุญาตให้ดำเนินการหรือไม่

ไม่ใช่ การระบุตัวตนและการอนุญาตเป็นคนละเรื่องกัน Proof of Actor ให้บริบทเกี่ยวกับผู้เรียกกับแอปพลิเคชันของคุณ และกฎการอนุญาตของคุณเองเป็นตัวตัดสินว่าผู้เรียกนั้นทำอะไรได้บ้าง

Proof of Actor จะบล็อกคำขอไปยัง API ของฉันหรือไม่

ไม่ เว้นแต่คุณจะกำหนดให้เป็นเช่นนั้น การติดตั้งทุกรายเริ่มในโหมดสังเกตการณ์ และการบังคับใช้จะเกิดขึ้นผ่านนโยบายที่ทีมของคุณเขียนและเปิดใช้งานเท่านั้น

ฉันจะขอสิทธิ์เข้าถึงได้อย่างไร

Proof of Actor อยู่ใน private beta ให้สมัครขอสิทธิ์เข้าถึงล่วงหน้า และทีม founding developer ที่ได้รับคัดเลือกสามารถใช้งานได้ฟรีสูงสุด 12 เดือนภายในข้อจำกัดการใช้งานที่ตกลงกัน

รู้ว่าใครกำลังใช้แอปของคุณ

private beta สำหรับกลุ่มเล็กๆ ของ founding developers

ขอสิทธิ์เข้าถึงก่อนใครดูราคา

อยากคุยก่อนหรือไม่ พูดคุยกับผู้ก่อตั้ง