AI エージェントが API を呼び出しています: バックドアを作成する 5 つの認証ミス

HMAC リクエスト署名の追加

トークンベースの認証を超えて、HMAC-SHA256 を使用して各リクエスト ペイロードに署名します。 API は署名を事前に検証します。 リクエストを処理しています。 これは、ペイロードが転送中に改ざんされていないことを証明し、各リクエストを 特定のエージェントの秘密。

# Sign a request payload so your API can verify the sender
PAYLOAD='{"agent_id":"agent-refund-processor","action":"refund","order_id":"ORD-7291"}'

curl -s -X POST https://api.botoi.com/v1/hash/hmac \\
  -H "Content-Type: application/json" \\
  -d "{
    \\"text\\": \\"$PAYLOAD\\",
    \\"key\\": \\"kX9mT2vR8nL4wQ6jY3bA5cF7hD1gP0sE9uI2oK4lM6nB8xZ3vC5tR7yW0qJ1aG\\",
    \\"algorithm\\": \\"sha256\\"
  }"

{
  "success": true,
  "data": {
    "hmac": "a3f8c2d1e5b7094f6d2c8a1e3b5f7d9e4c6a8b0d2f4e6c8a0b2d4f6e8c0a2b4",
    "algorithm": "sha256"
  }
}

API サーバーは、保存されているエージェントのシークレットのコピーを使用して HMAC を再計算します。 ハッシュが一致する場合、 リクエストは本物です。 そうでない場合は、拒否してください。

シークレットのローテーションを自動化する

手動ローテーションは、数十のエージェントを実行する場合には拡張できません。 新しいファイルを生成するローテーション スクリプトを構築します。 シークレットを取得し、それをデプロイし、接続を確認してから、古いシークレットを取り消します。

import Botoi from "@botoi/sdk";

const botoi = new Botoi({ apiKey: process.env.BOTOI_API_KEY });

async function rotateAgentSecret() {
  // Generate a new 64-character secret
  const { data } = await botoi.password.generate({
    length: 64,
    uppercase: true,
    lowercase: true,
    numbers: true,
    symbols: false,
  });

  console.log("New secret generated. Deploy to agent, then revoke the old one.");

  // Hash the new secret for storage (never store plaintext)
  const hashed = await botoi.hash.sha256({ input: data.password });
  console.log("Hashed for DB:", hashed.data.hash);

  return { secret: data.password, hash: hashed.data.hash };
}

rotateAgentSecret();

間違い 4: マシン間呼び出しのリクエストのログをスキップする

組織の 48.9% はマシン間のトラフィックを認識していません。 人間の API 呼び出しはログに記録されますが、内部的なものは除外されます 可観測性スタックからのサービス間通信。 AI エージェントはその盲点にはまってしまいます。

エージェントが不正な動作をしたり、大量のリクエストを送信したり、その範囲外のエンドポイントにアクセスしたり、 侵害された場合、3 つの質問に答える必要があります。それは、どのエージェントが、いつ、何を触ったのかということです。 リクエストなし ログを記録している場合、どれにも答えることができません。

// Express middleware: log every agent request
app.use("/v1/*", (req, res, next) => {
  const agentId = req.headers["x-agent-id"] || "unknown";
  const start = Date.now();

  res.on("finish", () => {
    const log = {
      timestamp: new Date().toISOString(),
      agent_id: agentId,
      method: req.method,
      path: req.path,
      status: res.statusCode,
      duration_ms: Date.now() - start,
      ip: req.ip,
      user_agent: req.headers["user-agent"],
    };
    console.log(JSON.stringify(log));
  });

  next();
});

すべてのリクエストのエージェント ID、エンドポイント、HTTP メソッド、ステータス コード、および継続時間をキャプチャします。 構造化されたものを送信する 可観測性プラットフォームにログを記録します。 異常に対するアラートを設定する: リクエスト量の突然の急増、 エージェントの範囲外のエンドポイント、またはエラー率の上昇。

間違い 5: エージェントの認証を人間の認証と同じように扱う

自社の IAM システムがエージェント ID を管理できると確信しているセキュリティ リーダーはわずか 18% です。 残りの 82% のボルト エージェントは、自律的な発信者向けに設計されていない人間の認証フローにアクセスします。

人間による認証では、ユーザーが OAuth 同意画面を読み、パスワードを入力し、MFA プロンプトに応答することを前提としています。 エージェントはそんなことはしません。 3 つのプロパティを持つ別の認証モデルが必要です。

1. 明示的な権限を持つスコープ付きトークン

各エージェント トークンは、どのエンドポイントを呼び出すことができるか、およびどのアクションを実行できるかを宣言します。 API はこれらを強制します。 すべてのリクエストのスコープ。 範囲もアクセスもありません。

2. ID ごとのレート制限

人間のユーザーは 1 分あたり数件のリクエストを送信します。 エージェントは数百または数千のメッセージを送信します。 エージェントごとのレート制限 アイデンティティは、あるエージェントが他のエージェントを飢えさせることを防ぎ、エージェントが不正行為を行った場合の爆発範囲を制限します。

3. すべてのレイヤーで帰属をリクエストする

すべてのリクエストは、エージェント ID をエッジ プロキシからアプリケーション層を介してデータベースに運びます。 クエリログ。 何か問題が発生した場合、エージェントからアクションまでの完全なパスを追跡します。

Botoi SDK を使用してエージェント トークンを監査する

JWT エンドポイントとパスワード エンドポイントを 1 つの監査関数に結合します。 トークンをデコードし、有効期限を確認し、 署名を検証し、範囲が広すぎるとフラグを立てます。

import Botoi from "@botoi/sdk";

const botoi = new Botoi({ apiKey: process.env.BOTOI_API_KEY });

async function auditAgentToken(token: string, secret: string) {
  // Step 1: Decode to inspect claims
  const decoded = await botoi.jwt.decode({ token });
  const claims = decoded.data.payload;

  console.log("Agent:", claims.sub);
  console.log("Scopes:", claims.scopes);

  // Step 2: Check expiration
  const now = Math.floor(Date.now() / 1000);
  const hoursLeft = (claims.exp - now) / 3600;

  if (hoursLeft < 0) {
    console.error("Token expired", Math.abs(hoursLeft).toFixed(1), "hours ago");
    return { valid: false, reason: "expired" };
  }

  if (hoursLeft > 24) {
    console.warn("Token lives longer than 24 hours; rotate sooner");
  }

  // Step 3: Verify signature
  const verified = await botoi.jwt.verify({ token, secret, algorithms: ["HS256"] });

  if (!verified.data.valid) {
    console.error("Signature verification failed");
    return { valid: false, reason: "invalid_signature" };
  }

  // Step 4: Check scope breadth
  const dangerousScopes = claims.scopes.filter(
    (s: string) => s === "*" || s === "admin" || s.endsWith(":*")
  );

  if (dangerousScopes.length > 0) {
    console.warn("Overly broad scopes:", dangerousScopes);
  }

  return { valid: true, agent: claims.sub, scopes: claims.scopes, hoursLeft };
}

const result = await auditAgentToken(process.env.AGENT_TOKEN!, process.env.SIGNING_SECRET!);
console.log(result);

このチェックは、展開前の手順として実行します。 トークンの有効期限が切れている場合、TTL が 24 時間を超える場合、署名は失敗します。 検証を行ったり、ワイルドカード スコープを保持したりすると、展開がブロックされます。

AI エージェント API 認証のチェックリスト

調査データは明らかです。チームは AI エージェントを保護するよりも早く展開します。 80.9% ではエージェントが実行されていますが、 これらのエージェントに独自のアイデンティティを与えているのは 5 人に 1 人未満です。 このリストにあるすべての間違い、共有キー、広範な範囲、 永続的な認証情報、サイレントトラフィック、人間の形をした認証は、次の混乱した代理人を待つバックドアです 事件。

このリストから間違いを 1 つ選んでください。 今週中に直してください。 次に進みます。