Zugangsdaten für Agenten
Diese Seite richtet sich an Entwickler und Administratoren, die einem KI-Agenten Zugangsdaten übergeben. Ein Agent kann sich irren, kann durch gelesenen Text irregeleitet werden und hinterlässt Transkripte. Er sollte daher die engsten Zugangsdaten halten, die die Aufgabe erledigen, für die kürzeste Zeit, und sie nie in seinem eigenen Kontext sehen.
Inhalt
- Ein Konto je Agent
- Welche Zugangsdaten
- Wo Zugangsdaten liegen
- Erneuerung und Widerruf
- Was nie in einen Prompt gehört
Ein Konto je Agent
Geben Sie jedem Agenten sein eigenes Konto, in seiner eigenen Benutzergruppe, mit einer für ihn gemachten Rolle. Dann:
- sind seine Berechtigungen genau das, was Sie gewährt haben, nicht das, was eine Person zufällig hat;
- wird jede seiner Aktionen unter seinem eigenen Namen im Audit-Trail festgehalten;
- stoppt ihn das Deaktivieren des Kontos sofort, überall.
Geben Sie einem Agenten nie das Administratorkonto oder das Konto einer Person. Details: Rollen und minimale Rechte.
Welche Zugangsdaten
| Schnittstelle | Zugangsdaten | Eingrenzung | Lesen |
|---|---|---|---|
| REST-API | Persönlicher API-Schlüssel expk_... | Geltungsbereiche (read, publish, edit, remove), eine Laufzeit, nie über die Richtlinien des Eigentümers hinaus | Ein nur lesender API-Schlüssel, Schritt für Schritt |
| REST-API für viele Benutzer | OAuth2-Token | Die eigenen Richtlinien des Benutzers, oauth/authorize | OAuth und API-Schlüssel |
| expservices | Persönliches Token expt_... | Die Richtlinien des Benutzers des Tokens, eine Laufzeit | Agenten und expservices |
| Exponential Intelligence | Der Anbieterschlüssel | Liegt auf dem Server; Redakteure sehen ihn nie | Einen Anbieter konfigurieren |
Wo Zugangsdaten liegen
- Schlüssel von KI-Anbietern: nur in
settings/override(Modus 0640), nie in einer committeten Datei. Setup > EI: Models warnt vor einem Anbieterschlüssel an jedem anderen Ort. - Schlüssel und Tokens, die ein externer Agent verwendet: im Geheimnisspeicher der Agentenplattform oder in einer Umgebungsvariablen, nie in Quellcode, einer URL, einem Prompt oder einer geteilten Konfigurationsdatei.
Allgemeine Regeln für Geheimnisse in Exponential: Umgebung, Einstellungen und Geheimnisse.
Erneuerung und Widerruf
| Zugangsdaten | Widerrufen | Erneuern |
|---|---|---|
| Persönlicher API-Schlüssel | Mein Konto > API-Zugang oder ein Administrator unter Setup > oAuth-Verwaltung > API-Schlüssel | Den neuen Schlüssel erstellen, bevor der alte endet, umstellen, den alten widerrufen |
| expservices-Token | expsession::tokenRevoke | Ein neues Token erstellen, umstellen, widerrufen |
| OAuth2 | Setup > oAuth-Verwaltung | Tokens laufen nach TokenTTL ab; Refresh-Tokens erneuern sie |
| Jede davon | Das Deaktivieren des Kontos des Eigentümers beendet sofort jeden Schlüssel und jedes Token |
Erstellen, Widerrufen, erste Verwendung und Ablehnungen von API-Schlüsseln stehen im Audit-Trail als access.apikey.*;
expservices-Tokens als access.expservices.token.* (Der Audit-Trail für KI).
Was nie in einen Prompt gehört
- Ein Schlüssel, Token, Passwort oder Session-Cookie, auch nicht "nur zum Testen".
- Der Inhalt von
settings/override. - Personenbezogene Daten, die die Aufgabe nicht braucht.
Haben Zugangsdaten den Kontext eines Modells oder ein Transkript erreicht, behandeln Sie sie als offengelegt: Widerrufen Sie sie und erstellen Sie neue (Reaktion auf KI-Vorfälle).
Verwandte Seiten
- Sicherheit für Anwendungen
- Persönliche API-Schlüssel
- Bevor Sie einen Agenten verbinden
- Freie Dokumentation: Diese Seite darf unter der GNU FDL 1.3 frei kopiert, übersetzt und verbessert werden.
Werden Sie Exponential-Partner
Partner teilen ihre Informationen, stellen Mittel bereit, geben Beiträge zurück und entwickeln die Produkte mit uns, und so wächst Exponential. Eine Partner-Website und ein Dashboard sind für Mitte 2027 geplant: Werden Sie noch heute Partner, damit wir schneller wachsen und neue Funktionen früher liefern.