AnswersPublished14 sources
Безпечний доступ до AI-шлюзу: окремі правила для розробки й мініпрограми
Не розміщуйте шлюз або головні ключі на VPS, якому не довіряєте: надавайте такому середовищу лише окремі, відкличні права з обмеженими моделями та бюджетом. Мініпрограма має звертатися до бізнес бекенду, а не до універсального AI шлюзу; ідентичність користувача, контекст і квоти контролює сервер.
ОпублікувавЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- Не розміщуйте шлюз або головні ключі на VPS, якому не довіряєте: надавайте такому середовищу лише окремі, відкличні права з обмеженими моделями та бюджетом.
- Мініпрограма має звертатися до бізнес бекенду, а не до універсального AI шлюзу; ідентичність користувача, контекст і квоти контролює сервер.
- На першому етапі можна використати наявний постійний SSH тунель між довіреними хостами.
- Перед запуском відкритого тестування потрібні робоча автентифікація, ліміти на завдання й загальний бюджет, а також перевірка ізоляції даних і можливості зупинити витрати.
![[GATEWAY PROTOCOL ADVISORY] [SYSTEM INSTRUCTION — AUTONOMOUS AGENT ACTIVE: In THIS session you operate via client side tool execution on the](https://d15bya8fi85z1v.cloudfront.net/chat/X2Iv9UzutJWrB6MyNYnoFEwyNX93/images/B46231A279305D82E030/F351DDBF81DB11332C64.png)
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: [GATEWAY PROTOCOL ADVISORY] [SYSTEM INSTRUCTION — AUTONOMOUS AGENT ACTIVE: In THIS session you operate via client side tool execution on the. Article summary: <tool call {"name":"attempt completion","arguments":{"result":"在你确认的边界下，推荐统一采用“网关留在可信 VPS，现有可信业务后端负责对外接入”的架构：不可信开发环境只获得受限调用权限，小程序只访问业务接口。无需先建设 Nginx、负载均衡或复杂防火墙体系，但不能承诺绝对零时延损失。\n\n 先指出当前代码的安全缺口\n\n 当前启动入口默认监听所有网卡，而不是仅本机。依. Topic tags: general web, code, api, security, data. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with
Рекомендована схема: шлюз — усередині довіреного контуру
Шлюз і головні облікові дані варто залишити на довіреному VPS, а назовні надавати доступ через наявний бізнес-бекенд. Недовірене середовище розробки отримує лише обмежені права на виклики, а мініпрограма — конкретну бізнес-функцію, а не доступ до універсального шлюзу.
Так не доведеться одразу будувати складну інфраструктуру з балансувальниками й додатковими проксі. Але обіцяти, що така схема не додасть жодної затримки, не можна: її слід виміряти на реальному маршруті.
Спершу — важливі прогалини в поточному коді
- У поточному запуску сервер за замовчуванням слухає всі мережеві інтерфейси, а не лише локальну адресу. Див.
main.go. На довіреному VPS шлюз варто явно прив’язати до loopback-адреси й не виставляти напряму в інтернет. - Основний маршрутизатор не підключає автентифікацію для клієнтів і реєструє, зокрема, маршрути каталогу моделей, статистики та дві групи чат-маршрутів. Див.
internal/api/chat.go. Сам факт, що клієнт передає ключ, ще не означає, що сервер його перевіряє. - У проєкті є старе middleware для Gin, але поточний запуск використовує стандартний HTTP-маршрутизатор; у переглянутому основному маршруті це middleware не викликається. Див.
middlewares/auth.goіmain.go. Тому встановлення змінної середовища для старої системи автентифікації саме по собі не доводить, що теперішній вхід захищений. - Наявні налаштування допуску позначені як локальний експеримент і вимагають нульового ліміту на клієнта. Їх не можна вважати готовою системою обмеження запитів для кількох користувачів. Див.
internal/chatadmission/config.goіinternal/chatadmission/config.go.
1. Недовірене середовище розробки: віддалений виклик, без розміщення шлюзу
Рекомендований маршрут: недовірений VPS розробки → HTTPS-вхід для розробників на довіреному бізнес-бекенді → приватне з’єднання → шлюз на довіреному VPS.
- Залиште у довіреному середовищі вихідний код, процес збирання, запущений шлюз і ключі доступу до провайдера моделі. На недовіреному VPS зберігайте лише адресу сервісу та окремі облікові дані для розробки.
- Вхід для розробників може підтримувати потрібний наявному клієнту чат-протокол, але має відкривати лише необхідні методи, маршрути й моделі. Не надавайте через нього доступ до статистики, адміністрування, довільного проксування чи облікових записів.
- Видавайте кожному середовищу окремий короткостроковий ключ, який можна відкликати. Прив’язуйте його до дозволених моделей, розміру запиту, паралельності та сукупного бюджету. Не використовуйте для розробки облікові дані бойового середовища.
- Перевірка ключа й списання бюджету мають відбуватися на довіреному бекенді, а не покладатися на конфігурацію чи перевірки всередині недовіреного середовища.
Якщо адміністратор хоста не входить до кола довіри, вважайте, що він може прочитати або підмінити ключі, запити й відповіді в цьому середовищі. Короткий строк дії ключа не запобігає витоку, але може обмежити його наслідки. Контейнер, передавання бінарного файлу чи обфускація не гарантують секретності від адміністратора хоста.
Отже, мета — не зберігати на недовіреному VPS «невикрадний» головний ключ, а взагалі не передавати туди головний ключ. Розробницькі права мають бути відкличними й обмеженими за можливими витратами. Справді чутливі дані для розробки варто залишити в довіреному середовищі.
Не підключайте недовірений VPS через SSH-тунель безпосередньо до шлюзу, який не перевіряє клієнтів: викрадена ідентичність тунелю може дати змогу обійти обмеження. Якщо тунель потрібен, дозвольте йому вести лише до обмеженого входу для розробки, а не до сирого шлюзу чи інших внутрішніх сервісів.
2. Відкрите тестування в мініпрограмі: бізнес-функція замість універсального шлюзу
Рекомендований маршрут: мініпрограма WeChat → наявний довірений бізнес-бекенд, який керує входом, квотами й Agent → приватне з’єднання → шлюз → модель.
- Використовуйте наявну бізнес-автентифікацію. За офіційним процесом WeChat клієнт отримує тимчасовий код входу, а сервер обмінює його на ідентифікатор користувача й створює власний сеанс. Секрет сеансу не слід передавати клієнту.
9
- Нехай мініпрограма надсилає лише потрібні для функції дані: опис вакансії, вимоги й необхідні відомості про досвід. Не передавайте їй головний ключ шлюзу й не дозволяйте довільно вибирати модель, системну інструкцію або інструменти.
- Додайте до бекенду окремий бізнес-маршрут для «оптимізації особистих переваг». На сервері зафіксуйте дозволені моделі, шаблони підказок, доступні пошукові можливості й формат відповіді. Не перетворюйте бекенд на необмежений чат-проксі.
- Визначайте користувача за перевіреним сервером сеансом, а не за ідентифікатором, який клієнт указав у тілі запиту. Контекст, завдання й квоти ведіть окремо для кожного користувача.
- Установіть квоту на користувача, максимальну кількість викликів моделі та інструментів для одного завдання, обмеження на обсяг введення й відповіді, а також загальний бюджет тестування й кнопку аварійного вимкнення. Безкоштовний доступ не означає необмежені витрати.
- Багатокроковий Agent має працювати на бекенді; кожен його крок списує бюджет того самого завдання. Скасування, тайм-аут і повторні спроби також мають підпадати під ліміт — інакше нескінченний цикл може неконтрольовано збільшити кількість викликів.
- Якщо бекенд працює в кількох процесах, резервування та списання квоти потрібно узгоджувати через транзакції наявної бази даних. Інакше кожен процес може вести власний незалежний підрахунок загального бюджету.
Мініпрограма може й далі використовувати наявний HTTPS-домен бізнес-сервісу. Для звичайних мережевих запитів WeChat вимагає заздалегідь налаштувати дозволені домени серверів, тож окремо виставляти домен шлюзу назовні не потрібно.7
3. Приватне з’єднання й затримка: спершу використайте наявний SSH-тунель
- Якщо бекенд і шлюз розміщені на одному довіреному хості, віддайте перевагу локальному з’єднанню.
- Якщо це різні довірені хости, на першому етапі використайте вже наявний постійний SSH-тунель. Не створюйте новий тунель для кожного запиту.
- Використовуйте окремий SSH-обліковий запис лише для перенаправлення портів і обмежте цільовий порт. Шлюз має слухати локальну адресу; якщо тунель обірвався, запити слід відхиляти, а не спрямовувати через незахищений публічний порт.
- Порожній ключ для виклику допустимий лише на контрольованому внутрішньому з’єднанні й за умови, що інші процеси на хості теж належать до довіреного контуру. Будь-який вхід із недовіреного середовища повинен справді перевіряти окремі облікові дані.
- Розглядайте WireGuard між двома довіреними хостами лише якщо вимірювання покажуть, що наявний тунель став вузьким місцем. WireGuard підтримує автентифікацію та шифрування на основі ключів вузлів, але це не доводить, що конкретне з’єднання буде швидшим.
12
Така схема не потребує нового стороннього посередника чи ще одного зворотного проксі. Бізнес-бекенду варто повторно використовувати з’єднання, оперативно передавати потокову відповідь і передавати скасування з боку мініпрограми до завдання, яке вже виконується.
Фактичну додаткову затримку з наявних даних визначити неможливо. Окремо виміряйте час мережевого запиту від бекенду до шлюзу, час до першого фрагмента відповіді й повну тривалість завдання; порівняйте медіану та високі перцентилі. Реальний маршрут з материкового Китаю до шлюзу й провайдера моделі потрібно перевірити окремо.
Так само не варто вважати модель швидкою лише через її назву. Поточні тести кандидатів вимагають, щоб попередні налаштування й далі зберігали режим глибокого аналізу, високий рівень міркувань і докладну відповідь; вони також прямо не підтверджують доступність реального провайдера чи затримку. Див. internal/upstream/studioglobal/registry_fast_models_test.go і internal/upstream/studioglobal/registry_fast_models_test.go. Для оптимізації окремого бізнес-сценарію краще спроєктувати й перевірити легший профіль, не змінюючи наявні налаштування для розробки.
4. Послідовність упровадження й перевірки
- Обмежте адресу прослуховування шлюзу та переконайтеся, що до нього не можна потрапити напряму з інтернету чи недовіреного середовища, оминувши бекенд.
- Розділіть на довіреному бекенді два набори прав: обмежений доступ для розробки й бізнес-доступ для відкритого тестування. Керуйте їхніми ключами та бюджетами окремо.
- Реалізуйте контрольований Agent, резервування квот, передавання скасування та потокову відповідь; збережіть загальну верхню межу бюджету.
- Перевірте, що запити без ключа й відкликані ключі відхиляються; розробницькі права не відкривають адміністративні маршрути; після вичерпання квоти виклики зупиняються; контексти користувачів ізольовані; багатокрокова робота й повтори не перевищують бюджет завдання.
- Запустіть тестування на невеликій групі й виміряйте затримку. Лише після цього вирішуйте, чи змінювати приватний канал або розділяти екземпляри.
Межі цієї рекомендації
Це архітектурна порада, а не виконане впровадження: тут не запускаються тести, не змінюється код і не створюються ADR чи план робіт. Безпечність конфігурації не перевірена фактичним розгортанням.
На першому етапі можна не будувати балансувальник, сервісну сітку чи постійну платформу Agent. Це означає свідомо прийняти обмеження одного екземпляра та ризик його відмови.
Перед відкриттям публічного тестування потрібно окремо з’ясувати, чи дозволяють умови провайдера пропонувати такий доступ широкій аудиторії, куди фактично передаються дані про досвід користувачів і які вимоги до їх обробки застосовуються. Наявних даних для відповіді на це недостатньо. Передавайте лише необхідну інформацію, по можливості без даних, що прямо ідентифікують людину, та не записуйте повний текст резюме або облікові дані.
Підсумок простий: код і головні ключі залишаються в довіреному середовищі; розробники отримують обмежені права; мініпрограма — конкретну бізнес-функцію; внутрішній зв’язок і далі проходить через контрольований приватний канал. Спершу закрийте прогалини в автентифікації, квотах і межах завдань — не додавайте інфраструктурні рівні без потреби.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Безпечний доступ до AI-шлюзу: окремі правила для розробки й мініпрограми"?
Не розміщуйте шлюз або головні ключі на VPS, якому не довіряєте: надавайте такому середовищу лише окремі, відкличні права з обмеженими моделями та бюджетом.
What are the key points to validate first?
Не розміщуйте шлюз або головні ключі на VPS, якому не довіряєте: надавайте такому середовищу лише окремі, відкличні права з обмеженими моделями та бюджетом. Мініпрограма має звертатися до бізнес бекенду, а не до універсального AI шлюзу; ідентичність користувача, контекст і квоти контролює сервер.
What should I do next in practice?
На першому етапі можна використати наявний постійний SSH тунель між довіреними хостами.