Agents API управља петљом, али кључеви и мрежа остају ваша обавеза

Agents API води сесију и рад агента, али апликација бира алате и извршно окружење. Преглед Agents API описује ту поделу одговорности: управљана петља омогућава наставак рада, али сама не одређује којим датотекама, сервисима и акредитивима агент сме да приступи. Те границе поставите пре покретања сесије.

За задатак са датотекама припремите ограничен радни простор; за мрежне позиве дозволите само потребна одредишта; за спољне сервисе задржите главне акредитиве у апликацији или посреднику. Радњу која мења продукционе податке пропустите кроз апликациони алат који проверава захтев пре извршења. Инструкција у промпту може да усмери агента, али дозволе морају да спроведу окружење и апликација.

Изолујте датотеке и сесије према граници података

Агенту дајте само датотеке потребне за конкретан посао. Ако мења један репозиторијум, радни простор не треба да садржи суседне пројекте, резервне копије или датотеке са тајнама. Програм који агент покрене наслеђује приступ који му окружење стварно даје; забрана уписана у промпт не може да замени дозволе над датотекама.

Корисници и задаци који не смеју да деле податке треба да имају одвојена окружења. У апликацији сачувајте везу између власника, задатка и идентификатора сесије, па је проверите и када се рад наставља после прекида. Сесија може да траје дуже од појединачног корака, те погрешно поновно повезивање може да изложи ранији рад другом кориснику. Ако су задатку довољни одговор и строго дефинисан апликациони алат, извршно окружење му можда уопште није потребно.

Одвојите и податке које агент чита од резултата које апликација касније објављује. Датотека у радном простору може да садржи корисне податке, али и инструкције које је написао неко ван вашег система. Зато садржај датотеке не треба да мења правила приступа нити да сам по себи даје овлашћење за позив продукционог алата.

Мрежу отворите према позивима које задатак стварно прави

Направите списак одредишта неопходних за извршавање и за сваки алат, па дозволите излазни саобраћај само ка њима. У списак улазе и адресе које су потребне самом извршиоцу, не само сервиси којима агент приступа због задатка. Широк приступ мрежи даје коду који агент покрене могућност да пошаље доступне датотеке на одредиште које нисте предвидели.

Место одакле полази позив мења правило које треба подесити. MCP алат повезан из извршног окружења мора одатле да досегне свој сервер; удаљена MCP веза коју успоставља OpenAI услуга захтева сервер доступан из те услуге. За сваку интеграцију забележите одредиште, разлог приступа и место са ког веза полази. Када додате алат, проширите дозволу само за његову стварну путању.

Раздвојите апликациони кључ од приступа спољним сервисима

Безбедносна документација OpenAI наводи да код који агент покрене може да чита датотеке и акредитиве доступне окружењу и да користи његову мрежу. За апликациони кључ прописује дозволе api.agents.read и api.agents.write за сесије и api.responses.write за закључивање; дозволе api.vaults.read и api.vaults.write додају се када апликација управља трезорима. Тај кључ држите ван окружења агента.

Када користите сопствено извршно окружење, извршилац добија засебан кључ као CODEX_API_KEY. Он служи за повезивање окружења и не овлашћује друге API радње, али код агента може да га прочита. Зато њиме не замењујте апликациони кључ и не смештајте главне кључеве у датотеке, изворни код или логове доступне окружењу.

За спољни сервис задржите дуготрајни акредитив ван радног простора. У OpenAI окружењу тајна из трезора може да се користи преко мрежног посредника: код види заменску вредност, а посредник додаје стварни акредитив за одобрено одредиште. Код сопственог окружења поуздани посредник или сервер је инфраструктура коју ви обезбеђујете. Ако спољни сервис подржава краткотрајне акредитиве уског опсега, они смањују домет могуће изложености; и такав акредитив остаје доступан агенту ако га директно унесете у његово окружење.

Продукциону радњу задржите у апликационом алату

За упис у базу, објављивање или слање поруке дефинишите алат са уским аргументима, уместо да агенту дате општи приступ сервису. Водич за функцијске алате описује ток у ком агент затражи позив, апликација изврши функцију и врати резултат, а рад агента се затим наставља. Прикачено извршно окружење не покреће аутоматски те функције: место њиховог извршавања одређује апликација.

У обрађивачу позива проверите власника сесије, дозвољену операцију, циљни ресурс и аргументе. За радњу са тешко поправљивом последицом затражите одобрење овлашћене особе пре позива сервиса. Ако се веза прекине, сачувајте исход радње уз идентификаторе сесије, корака и позива; пре поновног извршавања проверите да ли је претходни позив већ успео. Тако наставак агентске петље не мора да значи понављање спољне радње.

Уводите привилегије редом

Почните с изолованим датотекама и без приступа продукционим сервисима. Потом додајте неопходна мрежна одредишта, па читање података кроз уско дефинисан алат или посредника за акредитиве. Тек када су власништво над сесијом, аргументи и одредишта под контролом апликације, додајте алат који мења спољно стање. Овај редослед омогућава да за сваку нову дозволу видите коју конкретну операцију она омогућава.

Пре пуштања таквог алата проверите и одбијање недозвољених захтева: приступ туђем радном простору, позив другом одредишту и радњу над ресурсом који не припада власнику сесије. Проверите стварне дозволе окружења и правила апликације, а не само одговор агента. Када агент предложи спољну радњу, његов резултат и садржај датотека третирајте као улаз за проверу; овлашћење за извршење остаје у вашој апликацији.

Прочитајте и:

• GitHub Copilot управља десктоп апликацијама — дозволе остају пресудне
• OpenAI API или Gemini API: дуг контекст мења цену пре квалитета
• Docker Remote API без TLS-а даје практично root приступ — овако се затвара