它是什麼
當軟體透過 API 呼叫 AI 服務時，服務需要知道該向哪個帳戶收費，金鑰就是它辨識的方式。它的作用就像程式用的密碼。它與人的臉孔或手機無關，因此沒有第二道登入步驟保護它。任何拿到金鑰文字的人，都可以在任何地方使用，直到它被取消為止。
金鑰會以很平常的方式外洩。有人把它貼到聊天室或支援單，存在共用文件中，或是提交到 Git 的程式碼裡，而 Git 的歷史紀錄即使在刪除後仍會保留它。自動化掃描程式會尋找外洩的金鑰，所以外洩的金鑰很快就可能被濫用。
為什麼這對企業很重要
- 費用：服務會對帳戶的每次請求計費，因此被盜用的金鑰會不斷累積費用，直到被取消為止。
- 資料外洩：在某些服務上，金鑰也能存取帳戶中儲存的檔案與其他資料。
- 人員異動：離職員工知道的金鑰，在有人更換之前仍然是有效的金鑰。
- 共用金鑰會掩蓋問題：如果所有工具都用同一把金鑰，您就無法分辨是哪一個造成用量暴增或外洩。
這在我們的工作中如何體現
我們把 API 金鑰存放在密碼管理工具中，絕不放在聊天或程式碼裡。每個應用程式都有自己的金鑰，因此出問題時可以追蹤，並單獨取消該金鑰。在供應商允許的情況下，我們會設定支出上限，員工離職時會輪替金鑰。我們在 AI 與自動化工作中以這種方式處理金鑰，並在託管 IT 服務中套用相同的存取規則。另請參閱代理式 AI，其中的工具就是以這些金鑰運作。
相關服務
瞭解更多
- 維基百科上的 API 金鑰中立地說明 API 金鑰是什麼，以及它作為安全機制的不足之處。
- OpenAI API 文件單一供應商的說明，供負責建立金鑰的人參考。
- Claude 文件另一家供應商的開發者參考資料，可用來比較金鑰的管理方式。
