AI代理的短期凭证 (12分钟阅读)

# 智能体凭证泛滥的终结 来源：https://vercel.com/blog/the-end-of-credential-sprawl-for-agents 每个有用的智能体都会超越您的代码库。它向Slack发送消息、创建Pull Request、查询Snowflake或调用内部API。正是这种扩展能力使其具有价值，但也正是风险所在，因为多年来，授权访问意味着配置一个长期有效的令牌，并祈祷它永远不会泄露。 Vercel Connect（https://vercel.com/connect）用代码在运行时请求的短期令牌取代了长期令牌，这些令牌限定于特定任务并自动过期。 在公开测试期间（https://vercel.com/blog/introducing-vercel-connect），我们已将生态系统扩展至超过100个连接器，统一了它们的工作方式，并增加了团队在生产中需要的治理能力。 今日，Vercel Connect正式发布。 通过安全的限定范围令牌连接100+服务 ## 限定范围的令牌连接100+服务 ### Vault无法解决长期令牌问题 管理凭证本身已成为一项繁重的工作。团队编写轮换脚本，在不同环境间复制密钥，并在用户间共享令牌。将令牌存放在Vault中增加了窃取难度，但一旦被窃取，其危险性并未降低。它永远不会过期，且没有Vault能限制泄露凭证所能造成的危害。 智能体使问题加剧——它们以更大的自主性、更频繁地接触更多系统。然而，控制密钥的工具却未发生变化。 使用Vercel Connect，您的应用从不存储凭证。它通过以下方式请求令牌： - 您为一个提供商（如Slack、GitHub、Snowflake、Shopify或您自己的OAuth服务）注册一次连接器 - 将其附加到需要它的项目和环境 - 您的代码在运行时请求令牌，并自动刷新 - 您的应用不会有意外提交的提供商密钥 ``` vercel connect create slack --name acme-slack ``` 创建一个名为acme-slack的Slack连接器 ``` import { getToken } from '@vercel/connect'; const token = await getToken('slack/acme-slack', { subject: { type: 'app' }, }); ``` 请求应用级别的Slack令牌 请求令牌不需要另一个密钥。Vercel上的每个部署都携带一个OIDC身份（https://vercel.com/docs/oidc），SDK使用它来证明请求者的身份。 ## 当访问变为请求时，有何不同 差异体现在凭证的属性上： 原本在工作完成后长期留存于环境中的凭证，现在会自动过期。没有残留物可供攻击者发现。 > 通过铸造短期令牌，而非将提供商凭证保存在暂停的沙箱中，为我们消除了整类安全风险。 > Fraser Brown, BuildPass 范围按请求确定。智能体的一步操作可能读取仓库，下一步创建Issue，而每次操作只请求所需的最小权限。 令牌的细粒度取决于服务，GitHub是最清晰的例子。请求可以将令牌限制为仅具有只读权限的单个仓库，而不是信任一个长期授予的组织范围权限。 开源的GitHub工具SDK（https://github-tools.com/guide/vercel-connect）将此付诸实践。选择`code-review`之类的预设，它将铸造仅包含所需权限的令牌。 身份也是按请求确定的。令牌默认代表应用运行，但传递一个命名用户作为`subject`，令牌就会代表该用户行事，其范围仅限于他们在一次性授权流程中批准的权限。 ## 为您已使用的服务提供连接器 Vercel Connect现已包含100+个预设连接器，适用于开发者工具和SaaS提供商，如Notion、Shopify和Workday，以及Slack、GitHub、Linear、Salesforce等服务的托管连接器。 您自己的服务可通过自定义OAuth和API密钥认证遵循相同模式，任何支持OAuth的MCP服务器都可以充当连接器。 查找和创建它们也更快。在Vercel网站上浏览完整目录（https://vercel.com/connect/browse），以更少的步骤创建连接器，并通过仪表盘、CLI或API管理一切。 > Vercel Connect使我们能够快速为团队部署新的AI代理和渠道集成，同时节省了我们开发自有安全令牌管理的时间和麻烦。 > Pat Dunn, EF World Journeys USA ## 与团队一同扩展的治理能力 采用Vercel Connect的团队需要的不止是限定范围的令牌。他们需要控制谁可以管理连接器，并跟踪访问的使用情况。 正式发布版增加了三项能力： - 细粒度的RBAC控制谁可以创建和管理连接器 - 审计日志记录授权和连接器活动 - 令牌和触发器的可观测性可跨项目显示使用情况 结合按环境附加和一键撤销功能，访问变得可检查、可验证。 当审计人员询问谁在何时访问了某个系统时，答案是查询审计日志，而不是跨项目和Slack线程进行调查。 ## 在您智能体运行的任何地方 Vercel Connect在您和您用户所在之处均可用： - 支持自定义环境，因此`qa`环境可以拥有自己的连接器，与生产、预览和开发环境并列。 - eve（https://eve.dev/）开箱即用地支持Connect，连接按智能体声明。 - Chat SDK支持（https://chat-sdk.dev/docs/vercel-connect）将相同模型引入对话式应用。 ### 在v0中构建连接型应用 在v0（https://v0.app/docs/vercel-connect）中构建的应用和智能体使用相同的模型。 告诉v0您的应用需要哪个服务，它会在构建期间设置连接器。Slack、GitHub和其他托管连接器不需要在提供商侧进行任何设置，由于令牌在运行时铸造，生成的应用没有需要保管的密钥。 KERNEL团队通过这种方式发布了一个语音驱动的浏览器智能体（https://x.com/DanielPrevoznik/status/2088598328007078174）： > v0通过Connect处理所有认证连接，因此无需困于管理API密钥，我可以让任何人通过OAuth带来自己的AI Gateway和KERNEL访问权限并开始使用。 > Danny Prevoznik, KERNEL ## 事件流入，无需密钥 请求令牌只是一半的故事。您的智能体还需要接收事件通知。 触发器（Triggers）在无需将密钥放回您的应用的情况下处理此需求。当用户在Slack中发帖时，提供商会将事件发送到Vercel Connect。它在服务器端验证签名，使用OIDC身份重新认证事件，并将其转发到您的项目。即使启用了部署保护（Deployment Protection），转发的事件也能到达。 您的应用无需机器人令牌来执行操作，也无需签名密钥来验证Webhook，但完整的循环依然可以运行。 Moonpig Group在生产环境中使用此循环运行其内部法律智能体： > 我们今天已在生产中使用Connect。我们的内部法律智能体通过Connect处理Slack、Jira和Google Drive，因此我们自己无需管理令牌、密钥或事件订阅。 > Jorian Kalse, Moonpig Group ## 围绕单一调用构建 一切的基础是来自Vercel Connect SDK（https://vercel.com/docs/connect/ts-sdk-reference）的`getToken`。 无论您的智能体是基于eve还是AI SDK构建，是作为Vercel Workflows中的后台作业运行，还是您自己编写的循环，它都以相同的方式请求凭证。 围绕此调用，适配器处理连接： - `@vercel/connect/eve`为智能体的连接提供凭证 - `@vercel/connect/chat`将Connect连接到Chat SDK适配器（https://chat-sdk.dev/adapters） - `@vercel/connect/betterauth`和`@vercel/connect/authjs`为Better Auth和Auth.js生成提供商配置 - `@vercel/connect/ai-sdk`和`@vercel/connect/mcp`为AI SDK工具和MCP客户端做同样的事情，无论您的智能体是直接调用工具还是通过服务器调用 对于eve智能体和Chat SDK应用，Slack集成通常保存在环境中的两个密钥`SLACK_BOT_TOKEN`和`SLACK_SIGNING_SECRET`，已完全从您的应用中移除。 ## 定价与可用性 Vercel Connect在所有套餐中均可用，定价基于令牌请求和触发器事件。Hobby计划每月包含500次令牌请求和1,000次触发器，无额外费用。Pro计划按每1,000次令牌请求3美元和每1,000次触发器0.95美元计费，企业版采用自定义定价。 如果您在测试期间使用了Vercel Connect，您当前的计费条款将保持不变，直至2026年9月25日更新定价生效。 ## 开始使用 - 使用Vercel Connect部署软件工厂模板（https://vercel.fyi/eve-software-factory）或浏览源代码（https://github.com/vercel-labs/eve-software-factory-template） - 在知识库中遵循完整指南（https://vercel.com/kb/guide/vercel-connect）或阅读更新日志（https://vercel.com/changelog/vercel-connect-ga） - 将以下提示词交给您的编码智能体以设置Vercel Connect：