ОтветыОпубликовано14 источники
AI-шлюз: как дать доступ разработчикам и пользователям, не раскрывая главный ключ
Не размещайте шлюз и главные учётные данные на VPS, администратору которого нельзя доверять. Разработчикам выдавайте отдельные отзываемые полномочия с лимитами; мини приложению открывайте бизнес функции, а не универсальный API шлюза.
ОпубликовалИзображения созданы с помощью GPT Image 2
Ответ на исследование
Ключевые выводы
- Не размещайте шлюз и главные учётные данные на VPS, администратору которого нельзя доверять.
- Разработчикам выдавайте отдельные отзываемые полномочия с лимитами; мини приложению открывайте бизнес функции, а не универсальный API шлюза.
- Для соединения между доверенными серверами сначала используйте уже настроенный постоянный SSH туннель; WireGuard стоит рассматривать после замеров.
- До запуска проверьте авторизацию, изоляцию пользовательских задач, лимиты расходов и невозможность обойти доверенный бэкенд.
![[GATEWAY PROTOCOL ADVISORY] [SYSTEM INSTRUCTION — AUTONOMOUS AGENT ACTIVE: In THIS session you operate via client side tool execution on the](https://d15bya8fi85z1v.cloudfront.net/chat/X2Iv9UzutJWrB6MyNYnoFEwyNX93/images/B46231A279305D82E030/F351DDBF81DB11332C64.png)
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: [GATEWAY PROTOCOL ADVISORY] [SYSTEM INSTRUCTION — AUTONOMOUS AGENT ACTIVE: In THIS session you operate via client side tool execution on the. Article summary: <tool call {"name":"attempt completion","arguments":{"result":"在你确认的边界下，推荐统一采用“网关留在可信 VPS，现有可信业务后端负责对外接入”的架构：不可信开发环境只获得受限调用权限，小程序只访问业务接口。无需先建设 Nginx、负载均衡或复杂防火墙体系，但不能承诺绝对零时延损失。\n\n 先指出当前代码的安全缺口\n\n 当前启动入口默认监听所有网卡，而不是仅本机。依. Topic tags: general web, code, api, security, data. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with
Короткий ответ
Оптимальная схема — оставить исходный код, экземпляр шлюза и ключи провайдеров на доверенном VPS, а существующий доверенный бэкенд использовать как единственную точку доступа извне. Недоверенная среда разработки получает ограниченные полномочия, а мини-приложение — только нужную пользователю бизнес-функцию.
Для этого не обязательно сразу добавлять Nginx, балансировщик или сложный межсетевой экран. Но обещать нулевую дополнительную задержку нельзя: её нужно измерить на реальном маршруте.
Что стоит проверить в текущей конфигурации
В приведённом коде есть несколько важных ограничений, которые нельзя считать закрытыми по умолчанию:
- Точка запуска слушает все сетевые интерфейсы, а не только локальный адрес. Это следует из
main.go:122. На доверенном VPS шлюзу стоит явно назначить адрес loopback и не выставлять его напрямую в интернет. - В основной маршрутизации нет проверки прав вызывающей стороны; при этом зарегистрированы пути чата, каталога моделей и статистики. См.
internal/api/chat.go:1804. Наличие ключа в настройках клиента само по себе не означает, что сервер этот ключ проверяет. - В проекте есть старый middleware для Gin, однако текущий запуск использует стандартную HTTP-маршрутизацию, и в изученной основной цепочке этот middleware не подключён. См.
middlewares/auth.go:9иmain.go:148. Поэтому установка переменной окружения для старой схемы авторизации ещё не доказывает, что защищён актуальный вход. - Конфигурация допуска запросов обозначена как локальная экспериментальная и требует нулевого лимита на клиента. Её нельзя считать готовым механизмом ограничения доступа для нескольких пользователей. См.
internal/chatadmission/config.go:41иinternal/chatadmission/config.go:95.
Для недоверенной среды разработки — удалённый вызов, а не установка шлюза
Рекомендуемая цепочка:
Недоверенный VPS разработчика → HTTPS-интерфейс с ограниченными правами на доверенном бэкенде → приватное соединение → шлюз на доверенном VPS.
Исходный код, сборка, рабочий экземпляр шлюза и ключи провайдеров остаются в доверенной среде. На недоверенном VPS хранятся только адрес интерфейса и отдельный ключ для разработки.
Для этого интерфейса можно сохранить необходимые клиенту чат-протокол и методы, но ограничить доступные пути и модели. Не следует открывать через него статистику, административные функции, произвольную переадресацию запросов или работу с учётными записями.
Каждой среде разработки выдавайте отдельный отзывный ключ с небольшим сроком действия. Свяжите его со списком разрешённых моделей и ограничениями на размер запросов, параллельные вызовы и общий бюджет. Эти полномочия должны быть независимы от ключей рабочего продукта.
Проверка ключа и списание бюджета должны происходить на доверенном бэкенде, а не в конфигурации или проверочном коде на недоверенном сервере.
Важно учитывать границу доверия: если администратору хоста доверять нельзя, считайте, что он может прочитать или изменить ключи, запросы и ответы в этой среде. Короткий срок действия не мешает краже — он лишь уменьшает возможный ущерб. Контейнер, выдача бинарного файла или обфускация также не гарантируют секретность от администратора хоста.
Задача здесь не в том, чтобы сделать главный ключ неуязвимым на чужом сервере, а в том, чтобы вообще не передавать туда главный ключ. Разрешения для разработки должны быть ограниченными, отзывными и иметь заранее заданный предел расходов. Действительно чувствительные материалы лучше обрабатывать в доверенной среде.
Не подключайте недоверенный VPS через SSH-туннель напрямую к шлюзу без авторизации. Если учётные данные туннеля окажутся скомпрометированы, это может обойти ограничения. Если туннель необходим, направляйте его только к интерфейсу разработки с ограниченными правами — не к исходному шлюзу и не к другим приватным сервисам.
Для открытого тестирования в мини-приложении — бизнес-функция вместо общего API
Рекомендуемая цепочка:
Мини-приложение WeChat → доверенный бэкенд с авторизацией, лимитами и логикой Agent → приватное соединение → шлюз → модель.
Мини-приложение WeChat — это приложение внутри экосистемы WeChat, а не отдельный серверный сервис. Поэтому клиенту не следует выдавать главный ключ шлюза. Пусть он передаёт только описание вакансии, требования к должности и необходимую информацию об опыте.
Авторизацию можно строить на штатном процессе WeChat: клиент получает временный код входа, сервер обменивает его на идентификатор пользователя и создаёт собственную сессию. Секрет сессии нельзя передавать клиенту.9
На доверенном бэкенде создайте отдельный бизнес-метод, например для улучшения описания личных достижений. Бэкенд должен сам выбирать допустимые модели, шаблон запроса, разрешённые инструменты и формат ответа. Не стоит превращать его в неограниченный чат-прокси.
Идентификатор пользователя следует получать из проверенной сервером сессии, а не принимать из тела запроса. Задачи, контекст и лимиты должны быть привязаны к этому пользователю, чтобы не смешивать историю разных людей.
Даже бесплатному тестированию нужны пределы: квота на пользователя, максимальное число вызовов модели и инструментов на задачу, ограничения на размер ввода и вывода, общий бюджет пробного запуска и возможность быстро отключить функцию. Все шаги многоэтапного Agent должны расходовать один бюджет задачи; отмена, тайм-ауты и повторы запросов также должны учитываться, иначе цикл может привести к неконтролируемому числу вызовов.
Если бэкенд работает в нескольких процессах, резервирование и списание квоты следует согласованно проводить через транзакции существующей базы данных. Иначе каждый процесс может вести отдельный учёт общего бюджета.
Для обычных сетевых запросов мини-приложение WeChat должно обращаться к заранее настроенному домену по HTTPS. Это позволяет оставить шлюз непубличным и использовать уже существующий домен бэкенда.7
Приватное соединение и задержка: сначала проверьте SSH-туннель
Если бэкенд и шлюз находятся на одном доверенном сервере, достаточно локального соединения. Если это разные доверенные серверы, на первом этапе можно использовать уже настроенный постоянный SSH-туннель. Не нужно устанавливать новое соединение для каждого запроса.
Для SSH используйте отдельную учётную запись, предназначенную только для проброса портов, и ограничьте целевой порт. Шлюз должен слушать локальный адрес; при обрыве туннеля запросы следует отклонять, а не отправлять через незащищённый публичный маршрут.
Пустой ключ вызова допустим только внутри контролируемого приватного соединения, если процессы на самих хостах также входят в доверенную зону. Любой интерфейс, доступный недоверенной среде, должен проверять отдельные учётные данные.
Если замеры покажут, что SSH-туннель стал узким местом, можно оценить прямое соединение WireGuard между двумя доверенными серверами. WireGuard использует аутентификацию и шифрование на основе ключей узлов, но это не доказывает, что в конкретной сети он будет быстрее.12
16
Добавлять сторонний транзитный сервис или ещё один обратный прокси на первом этапе не требуется. Бэкенду стоит повторно использовать соединения, своевременно передавать потоковый ответ и сообщать выполняющейся задаче об отключении клиента.
Фактическую задержку без измерений предсказать нельзя. Отдельно сравните время сетевого обмена от бэкенда до шлюза, время до первого фрагмента ответа и полную длительность задачи; смотрите не только на медиану, но и на высокие значения. Маршрут от пользователей в Китае до шлюза и далее до провайдера моделей нужно проверять отдельно.
Название модели само по себе не гарантирует, что она будет быстрой. В текущих тестах для кандидатов «быстрой» модели сохраняются настройки глубокого режима, высокого уровня рассуждений и подробного ответа; тесты также не подтверждают реальную доступность или задержку у провайдера. См. internal/upstream/studioglobal/registry_fast_models_test.go:9 и :53. Для функции улучшения достижений лучше подготовить и измерить отдельный облегчённый профиль, не меняя без проверки существующие настройки разработки.
План первого этапа и проверка перед запуском
- Ограничить адрес прослушивания шлюза и убедиться, что к нему нельзя попасть напрямую из интернета или недоверенной среды разработки.
- Разделить полномочия на бэкенде: отдельно ограниченный доступ для разработки и отдельно бизнес-доступ для публичного тестирования. Для каждого задать свои ключи и бюджеты.
- Добавить ограничение Agent, резервирование квоты, передачу отмены запроса и потоковую выдачу ответа, сохранив общий потолок расходов.
- Проверить, что запросы без ключа и с отозванным ключом отклоняются; разработчик не может обращаться к административным путям; при исчерпании квоты работа останавливается; контекст пользователей изолирован; повторы и многоэтапные вызовы не обходят бюджет задачи.
- Начать с небольшой группы пользователей, измерить задержку и только после этого решать, менять ли транспорт или разделять экземпляры.
Что пока остаётся за рамками
На этом этапе речь идёт об архитектурной рекомендации, а не о выполненном внедрении: изменения в код не вносились, тесты не запускались, ADR или план работ не создавались. Балансировщик, сервисная сетка и отдельная постоянная платформа для Agent также не входят в минимальный вариант. Цена этого упрощения — принятые ограничения по ёмкости и отказоустойчивости одного экземпляра.
Перед публичным запуском нужно отдельно выяснить, разрешают ли условия провайдера предоставлять такой пробный доступ широкой аудитории и как именно обрабатываются пользовательские данные. По этим вопросам имеющихся сведений недостаточно. Запрашивайте только необходимую информацию, по возможности удаляйте прямые идентификаторы и не записывайте в журналы полный текст резюме или учётные данные.
Итог: исходный код и главные ключи остаются в доверенной зоне; разработчики получают ограниченные права; мини-приложение — конкретную бизнес-функцию; внутреннее соединение использует уже контролируемый приватный канал. В первую очередь нужно закрыть авторизацию, бюджет и границы задач, а не наращивать количество инфраструктурных слоёв.
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «AI-шлюз: как дать доступ разработчикам и пользователям, не раскрывая главный ключ»?
Не размещайте шлюз и главные учётные данные на VPS, администратору которого нельзя доверять.
Какие ключевые моменты необходимо проверить в первую очередь?
Не размещайте шлюз и главные учётные данные на VPS, администратору которого нельзя доверять. Разработчикам выдавайте отдельные отзываемые полномочия с лимитами; мини приложению открывайте бизнес функции, а не универсальный API шлюза.
Что мне делать дальше на практике?
Для соединения между доверенными серверами сначала используйте уже настроенный постоянный SSH туннель; WireGuard стоит рассматривать после замеров.