Что такое API-ключи ИИ?

Что это такое

Когда программа обращается к сервису ИИ через его API, сервису нужно знать, с чьей учетной записи списывать плату. Ключ как раз это и показывает. Он работает как пароль для программы. Он не привязан к лицу или телефону человека, поэтому второй шаг входа его не защищает. Любой, у кого есть текст ключа, может использовать его откуда угодно, пока ключ не отозван.

Ключи утекают самыми обычными способами. Кто-то вставляет ключ в чат или заявку в поддержку, сохраняет в общем документе или фиксирует в коде в Git, где история хранит его даже после удаления. Автоматические сканеры ищут открытые ключи, поэтому утекший ключ могут быстро использовать во вред.

Почему это важно для бизнеса

• Расходы: сервис выставляет счет учетной записи за каждый запрос, поэтому украденный ключ накапливает расходы, пока его не отзовут.
• Раскрытие данных: в некоторых сервисах ключ также дает доступ к файлам и другим данным, хранящимся в учетной записи.
• Смена персонала: ключ, который знал ушедший сотрудник, остается рабочим, пока его кто-то не заменит.
• Общие ключи скрывают проблемы: если все инструменты используют один ключ, нельзя понять, какой из них вызвал всплеск расходов или утечку.

Как это проявляется в нашей работе

Мы храним API-ключи в менеджере паролей, а не в чатах или коде. Каждое приложение получает собственный ключ, поэтому проблему можно отследить, а ключ отозвать отдельно. Мы задаем лимиты расходов там, где поставщик это позволяет, и меняем ключи, когда сотрудники уходят. Мы так обращаемся с ключами в работе по ИИ и автоматизации и применяем те же правила доступа в управляемых ИТ-услугах. См. также агентный ИИ, где инструменты действуют с помощью таких ключей.

Подробнее

• API-ключ в WikipediaНейтральное объяснение того, что такое API-ключи и в чем они уступают как средство защиты.
• Документация по API OpenAIИнструкции одного провайдера для того, кто будет создавать ключи.
• Документация ClaudeСправочник разработчика другого провайдера, чтобы сравнить, как управляются ключи.