Zakresy OAuth: jak ograniczać uprawnienia aplikacji i agentów AI

Zakres OAuth, często nazywany scope, to etykieta uprawnienia do konkretnego fragmentu API. Aplikacja wpisuje żądane zakresy do prośby o autoryzację, użytkownik widzi je na ekranie zgody, a serwer autoryzacji wydaje token z zakresem faktycznie przyznanym. To ważne rozróżnienie: OAuth nie przekazuje aplikacji hasła do konta. Daje jej ograniczony token, który API może sprawdzić przed wykonaniem operacji. Zakres odpowiada na pytanie „co wolno temu tokenowi”, nie „kim jest człowiek”. Informację o tożsamości obsługuje zwykle osobna warstwa, na przykład OpenID Connect.

Nazwy zakresów nie są uniwersalnym słownikiem. Dostawca API sam definiuje, co oznacza na przykład calendar.readonly, gmail.send albo contacts.write. Dlatego nie oceniaj bezpieczeństwa po samym słowie „Google”, „CRM” czy „kalendarz”. Sprawdź dokładną listę uprawnień i różnicę między odczytem, tworzeniem, edycją oraz usuwaniem. Dwa tokeny do tej samej aplikacji mogą mieć zupełnie inny poziom ryzyka. Token tylko do odczytu wydarzeń nie powinien móc dodać spotkania ani pobrać skrzynki pocztowej.

Dla osoby budującej system AI scope jest praktyczną granicą działania agenta. Jeśli agent ma przygotowywać briefy z kalendarza, zacznij od uprawnienia tylko do odczytu kalendarza. Nie proś od razu o pełny dostęp do poczty, plików i kontaktów, ponieważ „może się kiedyś przydać”. Każdy dodatkowy zakres zwiększa powierzchnię błędu. Model może błędnie wywołać narzędzie, prompt injection może próbować skierować go do niechcianej akcji, a wyciek tokenu daje atakującemu dokładnie tyle możliwości, ile przyznałeś aplikacji.

Praktyczny przykład: system tworzy propozycję follow-upu po rozmowie sprzedażowej. Do analizy kalendarza potrzebuje zakresu odczytu wydarzeń. Do zapisania szkicu w CRM potrzebuje osobnego, ograniczonego uprawnienia do tworzenia notatek. Nie potrzebuje prawa do wysyłki e-maili. Jeśli kiedyś dodasz wysyłkę, użyj osobnego narzędzia i osobnego tokenu z zakresem wysyłania, a przed wykonaniem pokaż człowiekowi odbiorcę, temat oraz treść. Rozdzielenie tokenów nie jest biurokracją. Pozwala odłączyć ryzykowną funkcję bez zatrzymywania całego workflow.

Dobry proces zaczyna się od tabeli: zadanie, zasób, minimalna operacja, wymagany scope, właściciel i sposób cofnięcia dostępu. Przykład: „podsumowanie spotkania”, kalendarz, odczyt, calendar.events.readonly, właściciel systemu, odłączenie integracji w panelu dostawcy. Dopiero potem konfiguruj ekran zgody. Jeżeli dostawca oferuje uprawnienia przyrostowe, proś o dodatkowy zakres dopiero wtedy, gdy użytkownik świadomie uruchamia funkcję, która go wymaga. Zmniejszasz tarcie przy pierwszym połączeniu i nie zmuszasz do udzielenia szerokiej zgody przed zobaczeniem wartości.

Scope nie rozwiązuje wszystkiego. Token z zakresem write nadal nie powinien dawać agentowi swobody w każdej sytuacji. Serwer API powinien dodatkowo sprawdzić, czy użytkownik ma dostęp do konkretnego projektu, czy akcja mieści się w polityce oraz czy agent działa w imieniu właściwej osoby. W systemach wieloagentowych warto przekazywać uprawnienia węższe niż uprawnienia człowieka, zamiast dawać każdemu agentowi ten sam token administratora. OAuth ogranicza dostęp na poziomie API, a reguły biznesowe i potwierdzenie człowieka ograniczają sensowność pojedynczej akcji.

Najczęstszy błąd to proszenie o pełny zakres dla wygody implementacji. Drugi to traktowanie zgody sprzed roku jako trwałej akceptacji każdej nowej funkcji. Gdy zmieniasz workflow z odczytu na zapis, wyjaśnij zmianę i poproś o nową zgodę. Trzeci błąd to wkładanie tokenu z szerokim zakresem do automatyzacji bez rotacji, rejestru użycia i szybkiego sposobu unieważnienia. Po incydencie najpierw cofnij token, następnie sprawdź logi wywołań, a dopiero potem popraw prompt. Sam prompt nie odbierze uprawnienia, które token nadal posiada.

Zacznij od audytu jednej integracji. Wypisz wszystkie przyznane scope, usuń te, których workflow nie używa, i sprawdź, czy token produkcyjny nie ma uprawnień administracyjnych. Dla każdego narzędzia agenta nazwij najwyższy możliwy skutek: odczyt, utworzenie szkicu, zmiana danych, wysyłka albo usunięcie. Narzędzia o wyższym skutku zabezpiecz węższym tokenem, walidacją parametrów oraz dodatkowym potwierdzeniem. Ten prosty podział daje realną kontrolę nad automatyzacją, zanim rozrośnie się ona do wielu połączeń i agentów.