تصور کنید به یک پیمانکار موقت، کلید اصلی تمام اتاق‌های دفترتان را بدهید تا فقط وارد یک اتاق خاص شود؛ این دقیقاً همان ریسکی است که امروز در معماری عامل‌های هوش مصنوعی وجود دارد. اگر یک عامل فرعی که دسترسی کامل دارد، به‌طور تصادفی دیتابیس پرداخت‌ها را بخواند یا تغییری در محیط عملیاتی (Production) ایجاد کند، فاجعه حتمی است.
برای حل این مشکل، در ۶ سپتامبر ۲۰۲۶، ابزار Pigeon معرفی شد تا با جایگزینی اسرار مشترک (Shared Secrets)، مفهومی به نام «پاس Pigeon» (Pigeon Pass) را معرفی کند. این پاس در واقع یک گواهنامه امضاشده است که دقیقاً تعریف می‌کند یک عامل (Agent) — شبیه به کارمندی که فقط برای انجام یک وظیفه خاص مجوز دارد — چه کارهایی مجاز است انجام دهد. این رویکرد در واقع پاسخی به چالش‌های بنیادین در تفویض مجوزهاست که پیش‌تر در تحلیل پروتکل Agateon به ضرورت تأیید ساختاری در عامل‌ها پرداخته بودیم.
همان‌طور که در تحلیل‌های قبلی ما درباره‌ی امنیت مدل‌های بازمتن اشاره کردیم، مدیریت دسترسی در سیستم‌های خودکار همواره یک نقطه ضعف بوده است. طبق مستندات مخزن گیت‌هاب pigeonlabsHQ، این سیستم بر سه تابع اصلی استوار است:
- grant: ایجاد مجوز اولیه برای عامل اصلی.
- delegate: صدور یک پاس محدودتر برای عامل فرزند، به‌گونه‌ای که نتواند قابلیت‌های خود را گسترش دهد.
- verify: بررسی پاس در برابر اقدام درخواستی، پیش از آنکه ابزاری اجرا شود.
به عنوان مثال، یک عامل ارکستراتور که دسترسی‌های «استقرار» (deploy) و «باز کردن PR» را دارد، می‌تواند فقط مجوز «باز کردن PR» را به یک ربات کارگر منتقل کند. طبق گزارش توسعه‌دهندگان، اگر این ربات بخواهد تغییری در محیط عملیاتی ایجاد کند، Pigeon خطای RESOURCE_NOT_ALLOWED را بازمی‌گرداند. این مکانیسم تأیید اعتبار، شباهت زیادی به رویکرد آداپتور Universal Trust دارد که امکان اعتبارسنجی سریع عامل‌ها را فراهم می‌کرد.
پیاده‌سازی فنی این ابزار به پایتون ۳.۱۲ یا نسخه‌های جدیدتر نیاز دارد. همچنین این کتابخانه شامل میان‌افزاری پروتکل زمینهٔ مدل (MCP) — مثل یک مترجم که هر درخواست را قبل از تحویل به مدیر، بازبینی می‌کند — است تا برای هر فراخوانی ابزار، یک پاس اختصاصی صادر و تأیید شود.
این رویکرد، صنعت را از دسترسی‌های صفر و یکی به سمت اصل «حداقل دسترسی» (Least Privilege) می‌برد. با محدود کردن شعاع تخریب (Blast Radius)، توسعه‌دهندگان می‌توانند بدون ترس از تزریق پرامپت (Prompt Injection) — شبیه به فریب دادن یک نگهبان برای ورود به منطقه ممنوعه — عامل‌ها را در محیط‌های حساس مستقر کنند. این تلاش برای ایزوله‌سازی دسترسی‌ها، یادآور راهکارهای Infisical در حذف اعتبارنامه‌ها از لاگ‌ها برای افزایش امنیت فراخوانی ابزارهاست.
اگرچه Pigeon به‌طور مستقیم جلوی تزریق پرامپت را نمی‌گیرد، اما تضمین می‌کند که عاملِ نفوذ‌یافته در حصار تنگ پاس خود محبوس بماند. در این مدل، تنها «اجراکننده» (Runner) نگهبان واقعی کلیدهای اصلی است و فرزندان فقط مجوزهای محدود را حمل می‌کنند.
گام بعدی شما
- برای مشاهده نحوه مدیریت رد دسترسی‌ها در لحظه، اسکریپت
examples/01_infrastructure.pyرا در مخزن Pigeon اجرا کنید. - معماری عامل‌های خود را از مدل «کپی کلید API» به مدل «تفویض مجوز» تغییر دهید.
- بررسی کنید کدام ابزارهای شما در حال حاضر دسترسی‌های بیش از حد (Over-privileged) دارند.
اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است — به تحلیل ما درباره‌ی تراشه‌های Blackwell مراجعه کنید.
گفتگو