الأسرار ومتغيرات البيئة دون لصق المفاتيح في الدردشة

معظم التطبيقات الحقيقية تحتاج إلى سرّ واحد على الأقل: مفتاح مزوّد الدفع، أو مفتاح خدمة البريد الإلكتروني، أو مفتاح لواجهة برمجة تطبيقات للذكاء الاصطناعي. في Mythex لا تلصق هذه المفاتيح داخل الطلب. عندما يحتاج الوكيل إلى أحدها، تظهر في الدردشة بطاقة طلب أسرار، تكتب القيمة داخلها، ثم تُحفظ كسرّ للمشروع يقرأه تطبيقك، دون أن يصل المفتاح إلى المحادثة.

ما الذي تفعله؟

يمكن لكل مشروع في Mythex أن يخزّن متغيرات بيئة: قيم مسمّاة، مثل STRIPE_SECRET_KEY، يقرؤها تطبيقك وقت التشغيل بدلاً من كتابتها داخل الكود. والأسرار هي متغيرات بيئة يجب أن تبقى قيمها خاصة.

القيم نفسها متاحة في مكانين:

• بيئة التشغيل المعزولة (sandbox)، حيث يبني الوكيل تطبيقك ويشغّله أثناء عملك.
• عمليات النشر المنشورة، حيث يستخدم الزوّار التطبيق.

هناك ثلاث طرق لإضافتها:

1. بطاقة طلب الأسرار، يعرضها الوكيل في الدردشة عندما يحتاج مفتاحاً لإكمال مهمة.
2. إعدادات المشروع ← الأسرار، حيث تضيف القيم أو تعدّلها في أي وقت.
3. الأمر /secrets في الدردشة، لإضافة الأسرار أو تحديثها عند الطلب.

لماذا يفيد ذلك؟

الطريقة الأوضح لإعطاء وكيل ذكاء اصطناعي مفتاحاً هي لصقه في رسالتك. هذا يعمل، لكن المفتاح يصبح عندها جزءاً من سجل محادثتك، مكتوباً بنص عادي بجانب كل ما قلته.

بطاقة الأسرار تُبقي القيمة خارج السجل. تدخلها في حقول البطاقة لا في مربع الرسالة، فتُحفظ كسرّ للمشروع. ويكمل الوكيل عمله والمفتاح متاح في بيئة التشغيل المعزولة.

إبقاء المفاتيح في إعدادات المشروع بدلاً من الكود له فوائد أخرى:

• المفاتيح تبقى خارج التحكم بالمصدر. يشير كودك إلى المفتاح بالاسم، وقيمته تعيش في إعدادات المشروع.
• الوكيل وتطبيقك الذي يعمل يرون الإعدادات نفسها. لا توجد نسخة تتقادم.
• يمكنك تدوير المفتاح دون إعادة كتابة الكود. غيّر القيمة في الإعدادات، ويظل الكود يقرؤها بالاسم.

إذا كانت متغيرات البيئة جديدة عليك، فإن دليلنا عن ما هي متغيرات البيئة والأسرار يشرح الفكرة من الصفر.

كيف تستخدم بطاقة الأسرار

1. اطلب الميزة، مثلاً: «أرسل بريداً ترحيبياً عند تسجيل أي شخص».
2. عندما يحتاج الوكيل إلى مفتاح، تظهر بطاقة طلب أسرار في الدردشة تسرد القيمة المطلوبة.
3. أدخل القيمة في حقول البطاقة، لا في مربع الرسالة.
4. أكّد. تُحفظ القيمة كسرّ للمشروع.
5. يتابع الوكيل عمله، والمفتاح متاح في بيئة التشغيل المعزولة.

كيف تضيف الأسرار بنفسك

1. افتح إعدادات المشروع، ثم الأسرار.
2. أضف مفاتيح مثل STRIPE_SECRET_KEY أو OPENAI_API_KEY أو بيانات الاعتماد الخاصة بخدمتك.
3. اطلب من الوكيل قراءتها بالطريقة المعيارية لإطار عملك، مثلاً من process.env في تطبيق Node.
4. أعد النشر إذا كان التطبيق المنشور يحتاج إلى القيم الجديدة.

يمكنك أيضاً كتابة /secrets في الدردشة لإضافتها أو تحديثها هناك.

تغيير سرّ في تطبيق منشور

يلتقط التطبيق المنشور الأسرار لحظة نشره. بعد أن تضيف سرّاً أو تغيّره، انشر من جديد حتى يحصل النشر المباشر على القيمة الجديدة. إلى أن يحدث ذلك، يستخدم الزوّار التطبيق بالإعدادات القديمة.

نصائح أمنية

• لا تُدرج الأسرار أبداً في المستودع. احتفظ بها في إعدادات المشروع.
• فضّل المفاتيح الخاصة بالخادم للعمليات الحساسة. المفتاح الذي يستطيع تحصيل مبالغ من البطاقات أو إرسال البريد يجب أن يبقى في كود يعمل على الخادم، لا في أي شيء يحمّله متصفح الزائر.
• إذا ظهر مفتاح في سجل الدردشة يوماً ما، فدوّره. أنشئ مفتاحاً جديداً عند المزوّد، وألغِ القديم، وحدّث القيمة في إعدادات المشروع. اعتبر أي مفتاح لُصق في دردشة مكشوفاً.

القيود

• البطاقة تفيد فقط إذا استخدمتها. إذا لصقت المفتاح في مربع الرسالة على أي حال، فهو موجود في السجل. دوّره عند المزوّد وحدّث القيمة المحفوظة.
• التطبيقات المنشورة تحتاج إلى إعادة نشر لتلتقط الأسرار الجديدة أو المتغيرة.
• حفظ المفتاح بأمان لا يجعل كل استخدام له آمناً. لا يزال مكان استخدام المفتاح مهماً، فأبقِ المفاتيح الحساسة على جانب الخادم من تطبيقك.

لمزيد من المعلومات عن حماية التطبيق قبل مشاركته، راجع قائمة التحقق الأمنية للتطبيقات المبنية بالذكاء الاصطناعي.

التفاصيل موجودة في الوثائق: متغيرات البيئة والأسرار والأسرار في الدردشة.