كيف يمنح Roblox وكلاء الذكاء الاصطناعي حق الوصول دون منحهم بيانات اعتماد
Author
Venue
Abstract
قد تحتاج وكالات الذكاء الاصطناعي التي تعمل نيابة عن المهندس إلى استدعاء عدد من واجهات برمجة التطبيقات (API). إن أبسط طريقة للسماح بذلك هي منح كل وكالة مفاتيح API طويلة الأمد، لكن ذلك يضع تلك المفاتيح داخل عملية لا يمكننا الوثوق بها تمامًا: فقد يؤدي حقن موجه واحد إلى تسريبها، وكل مفتاح إضافي يزيد من الضرر الذي يمكن أن يسببه التسريب.
تصف هذه الورقة النهج الذي تستخدمه Roblox بدلاً من ذلك. يتلقى كل وكيل هوية قصيرة الأجل مرتبطة بالمهندس الذي يعمل لصالحه. يقوم «وسيط بيانات الاعتماد» (Credential Broker) بتخزين بيانات اعتماد المورد الخاصة بالمهندس، ويستبدل هوية الوكيل برموز وصول قصيرة الأمد. ثم تقوم «بوابة MCP» (MCP Gateway) بإرفاق تلك الرموز بالطلبات الصادرة عن الوكيل، بحيث لا يرى الوكيل بيانات الاعتماد على الإطلاق في معظم الحالات. يتولى النظام حاليًا معالجة حركة المرور إلى أكثر من 50 خدمة خلفية ويصدر ما يقارب 8,400 رمز يوميًا، دون أن يمتلك أي وكيل بيانات اعتماد طويلة الأمد
