Secrets og miljøvariabler uden at indsætte nøgler i chatten

De fleste rigtige apps har mindst ét secret: en nøgle til en betalingsudbyder, en nøgle til en e-mailtjeneste eller en nøgle til en AI-API. I Mythex skal du ikke indsætte dem i en prompt. Når agenten har brug for en nøgle, viser den et kort med anmodning om secret i chatten. Du skriver værdien ind i kortet, og den gemmes som et projektsecret, som din app kan læse, uden at nøglen havner i samtalen.

Hvad det gør

Hvert Mythex-projekt kan gemme miljøvariabler: navngivne værdier, som STRIPE_SECRET_KEY, som din app læser, når den kører, i stedet for at have dem skrevet ind i koden. Secrets er miljøvariabler, hvis værdier skal holdes private.

De samme værdier er tilgængelige de to steder:

• Sandkassen, hvor agenten bygger og kører din app, mens du arbejder.
• Dine publicerede udgivelser, hvor besøgende bruger appen.

Der er tre måder at tilføje dem på:

1. Kortet med anmodning om secret, som agenten viser i chatten, når den har brug for en nøgle for at færdiggøre noget.
2. Projektindstillinger → Secrets, hvor du når som helst kan tilføje eller redigere værdier.
3. /secrets i chatten, for at tilføje eller opdatere secrets på forespørgsel.

Hvorfor det hjælper

Den oplagte måde at give en AI-agent en nøgle på er at indsætte den i din besked. Det virker, men nøglen bliver så en del af din chathistorik, som almindelig tekst ved siden af alt andet, du har skrevet.

Kortet med secret holder værdien ude af samtalen. Du indtaster den i kortets felter, ikke i beskedfeltet, og den gemmes som et projektsecret. Agenten fortsætter med nøglen tilgængelig i sandkassen.

At opbevare nøgler i projektindstillingerne i stedet for i koden har også andre fordele:

• Nøgler holdes ude af versionsstyring. Din kode henviser til en nøgle med navn; værdien ligger i projektindstillingerne.
• Agenten og din kørende app ser den samme konfiguration. Der er ingen kopi, der kommer ud af sync.
• Du kan rotere en nøgle uden at omskrive koden. Ændr værdien i indstillingerne; koden læser den stadig med navnet.

Hvis miljøvariabler er nye for dig, forklarer vores guide om hvad miljøvariabler og secrets er idéen fra bunden.

Sådan bruger du kortet med secret

1. Bed om funktionen — for eksempel "send en velkomstmail, når nogen tilmelder sig".
2. Når agenten har brug for en nøgle, vises et kort med anmodning om secret i chatten, med den værdi der skal bruges.
3. Indtast værdien i kortets felter, ikke i beskedfeltet.
4. Bekræft. Værdien gemmes som et projektsecret.
5. Agenten fortsætter, med nøglen tilgængelig i sandkassen.

Sådan tilføjer du secrets selv

1. Åbn projektindstillinger og derefter Secrets.
2. Tilføj nøgler som STRIPE_SECRET_KEY, OPENAI_API_KEY eller din egen tjenestes legitimationsoplysninger.
3. Bed agenten om at læse dem på den standardmåde, din framework bruger — for eksempel fra process.env i en Node-app.
4. Publicer igen, hvis en publiceret app har brug for de nye værdier.

Du kan også skrive /secrets i chatten for at tilføje eller opdatere dem der.

Ændring af et secret på en publiceret app

En publiceret app henter secrets, når den publiceres. Når du har tilføjet eller ændret et, skal du publicere igen, så den kørende udgivelse får den nye værdi. Indtil da bruger besøgende stadig appen med den gamle konfiguration.

Sikkerhedstips

• Commit aldrig secrets ind i repositoryet. Behold dem i projektindstillingerne.
• Brug helst server-only nøgler til privilegerede handlinger. En nøgle, der kan trække penge fra kort eller sende e-mails, hører hjemme i kode, der kører på serveren, ikke i noget en besøgendes browser downloader.
• Hvis en nøgle nogensinde havner i chathistorikken, så rotér den. Opret en ny nøgle hos udbyderen, tilbagekald den gamle, og opdater værdien i projektindstillingerne. Betragt enhver nøgle, der er indsat i en chat, som eksponeret.

Begrænsninger

• Kortet hjælper kun, hvis du bruger det. Hvis du alligevel indsætter en nøgle i beskedfeltet, står den i historikken. Rotér den hos udbyderen, og opdater den gemte værdi.
• Publicerede apps skal publiceres igen for at hente nye eller ændrede secrets.
• At gemme en nøgle sikkert gør ikke enhver brug af den sikker. Hvor nøglen bruges, betyder stadig noget — hold privilegerede nøgler på serversiden af din app.

For mere om at gøre en app sikker, før du deler den, se vores sikkerhedstjekliste for AI-byggede apps.

Dokumentationen har detaljerne: Miljøvariabler og secrets og Secrets i chatten.