Roblox, AI ajanlarına kimlik bilgilerini vermeden nasıl erişim sağlıyor?

Bir mühendis adına çalışan yapay zeka ajanlarının bir dizi API'yi çağırması gerekebilir. Bunu sağlamanın en basit yolu, her ajana uzun ömürlü API anahtarları vermektir; ancak bu, söz konusu anahtarları tam olarak güvenemeyeceğimiz bir sürecin içine sokar: tek bir komut satırı enjeksiyonu bile bu anahtarların sızmasına neden olabilir ve her ek anahtar, sızıntının yol açabileceği zararı artırır.

Bu makale, Roblox'un bunun yerine kullandığı yaklaşımı açıklamaktadır. Her ajan, çalıştığı mühendise bağlı kısa ömürlü bir kimlik alır. Bir Kimlik Bilgisi Aracısı, mühendisin tedarikçi kimlik bilgilerini depolar ve ajanın kimliğini kısa ömürlü erişim jetonlarıyla değiştirir. Ardından bir MCP Ağ Geçidi, bu jetonları ajanın giden isteklerine ekler; böylece çoğu durumda ajan, kimlik bilgilerini hiç görmez. Sistem şu anda 50’den fazla arka uç hizmetine giden trafiği yönetmekte ve herhangi bir ajanın uzun ömürlü bir kimlik bilgisine sahip olması gerekmeden günde yaklaşık 8.400 jeton düzenlemektedir.