Dar identidades reais a agentes com mTLS
Emita certificados por CSR e autorize chamadas de modelos pela identidade do agente, não por API key compartilhada.
Uma API key prova posse de uma string, mas não identifica o agente nem permite revogá-lo sem afetar outras cargas. Agentes autônomos precisam de modelo de confiança semelhante ao usado para servidores.
Resposta curta#
- Dê identidade própria a cada agente: par de chaves e certificado, não token copiado.
- Permita cadastro por CSR conforme política.
- Autorize pela identidade do certificado para revogar um agente sem rotacionar segredos compartilhados.
- Centralize chaves, certificados e políticas.
Como fazer no AI-FW#
- Escolha autenticação por agente: API key, JWT, mTLS ou Kerberos para máquinas do domínio.
- Faça o cadastro próprio: agente gera chaves, envia CSR e recebe certificado; a chave privada permanece local.
- Associe roles, modelos e permissões de ferramentas à identidade ou grupo do agente.
- Suspenda por identidade. Revogue o certificado do agente sem afetar outros.
- Se preferir, integre a CA existente pelos fluxos CA.
Verificar#
- Cadastre agente de teste e confirme chamada de modelo; teste certificado não registrado e confirme recusa.
- Revogue certificado de teste; próxima chamada deve falhar enquanto outros agentes seguem.
- Consulte Agents e Agent Trust.
- Confirme que auditoria associa chamada à identidade do certificado.
Relacionado#
Identidade faz diferença
Tratar agentes como identidades torna ações entre agentes verificáveis. Veja Gateway de IA ou firewall de IA.