Geheimnisse und Umgebungsvariablen, ohne Schlüssel in den Chat einzufügen

Die meisten echten Apps brauchen mindestens ein Secret: den Schlüssel eines Zahlungsanbieters, den Schlüssel eines E-Mail-Dienstes oder einen Schlüssel für eine KI-API. In Mythex fügen Sie diese nicht in einen Prompt ein. Braucht der Agent einen solchen Schlüssel, zeigt er im Chat eine Karte für Secrets-Anfragen. Sie tragen den Wert in die Karte ein, und er wird als Projekt-Secret gespeichert, das Ihre App auslesen kann, ohne dass der Schlüssel im Gespräch landet.

Was es macht

Jedes Mythex-Projekt kann Umgebungsvariablen speichern: benannte Werte, etwa STRIPE_SECRET_KEY, die Ihre App beim Ausführen liest, statt sie fest in den Code zu schreiben. Secrets sind Umgebungsvariablen, deren Werte vertraulich bleiben müssen.

Dieselben Werte stehen an zwei Stellen zur Verfügung:

• Die Sandbox, in der der Agent Ihre App baut und ausführt, während Sie daran arbeiten.
• Ihre veröffentlichten Deployments, die Besucher nutzen.

Es gibt drei Wege, sie hinzuzufügen:

1. Die Karte für Secrets-Anfragen, die der Agent im Chat zeigt, wenn er für etwas einen Schlüssel braucht.
2. Projekteinstellungen → Secrets, wo Sie Werte jederzeit hinzufügen oder bearbeiten können.
3. /secrets im Chat, um Secrets auf Wunsch hinzuzufügen oder zu aktualisieren.

Warum das hilft

Der naheliegende Weg, einem KI-Agenten einen Schlüssel zu geben, ist, ihn in Ihre Nachricht zu kopieren. Das funktioniert, aber der Schlüssel wird dann Teil Ihres Chatverlaufs und steht im Klartext neben allem, was Sie geschrieben haben.

Die Secrets-Karte hält den Wert aus dem Verlauf heraus. Sie geben ihn in den Feldern der Karte ein, nicht im Nachrichtenfeld, und er wird als Projekt-Secret gespeichert. Der Agent arbeitet weiter, und der Schlüssel steht ihm in der Sandbox zur Verfügung.

Schlüssel in den Projekteinstellungen statt im Code aufzubewahren, bringt weitere Vorteile:

• Schlüssel bleiben aus der Versionsverwaltung heraus. Ihr Code verweist per Name auf einen Schlüssel; der Wert liegt in den Projekteinstellungen.
• Agent und laufende App sehen dieselbe Konfiguration. Es gibt keine Kopie, die veraltet.
• Sie können einen Schlüssel rotieren, ohne Code umzuschreiben. Sie ändern den Wert in den Einstellungen; der Code liest ihn weiterhin über den Namen.

Wenn Ihnen Umgebungsvariablen neu sind, erklärt unser Leitfaden was Umgebungsvariablen und Secrets sind das Prinzip von Grund auf.

So verwenden Sie die Secrets-Karte

1. Fordern Sie die Funktion an, zum Beispiel „Sende eine Willkommens-E-Mail, wenn sich jemand registriert“.
2. Braucht der Agent einen Schlüssel, erscheint im Chat eine Karte für Secrets-Anfragen, die den benötigten Wert auflistet.
3. Tragen Sie den Wert in die Felder der Karte ein, nicht ins Nachrichtenfeld.
4. Bestätigen Sie. Der Wert wird als Projekt-Secret gespeichert.
5. Der Agent macht weiter, und der Schlüssel steht in der Sandbox zur Verfügung.

So fügen Sie Secrets selbst hinzu

1. Öffnen Sie die Projekteinstellungen und dann Secrets.
2. Fügen Sie Schlüssel hinzu wie STRIPE_SECRET_KEY, OPENAI_API_KEY oder die Zugangsdaten Ihres eigenen Dienstes.
3. Bitten Sie den Agenten, sie auf die übliche Weise für Ihr Framework auszulesen, zum Beispiel aus process.env in einer Node-App.
4. Veröffentlichen Sie erneut, wenn eine veröffentlichte App die neuen Werte braucht.

Sie können auch /secrets in den Chat eingeben, um Secrets dort hinzuzufügen oder zu aktualisieren.

Ein Secret bei einer veröffentlichten App ändern

Eine veröffentlichte App übernimmt Secrets beim Veröffentlichen. Nachdem Sie eines hinzugefügt oder geändert haben, veröffentlichen Sie erneut, damit das Live-Deployment den neuen Wert erhält. Bis dahin nutzen Besucher die App mit der alten Konfiguration.

Sicherheitstipps

• Speichern Sie Secrets niemals im Repository. Bewahren Sie sie in den Projekteinstellungen auf.
• Verwenden Sie für privilegierte Vorgänge Schlüssel, die nur auf dem Server gelten. Ein Schlüssel, der Karten belasten oder E-Mails versenden kann, gehört in Code, der auf dem Server läuft, nicht in etwas, das der Browser eines Besuchers herunterlädt.
• Wenn ein Schlüssel jemals im Chatverlauf auftaucht, rotieren Sie ihn. Erstellen Sie beim Anbieter einen neuen Schlüssel, widerrufen Sie den alten und aktualisieren Sie den Wert in den Projekteinstellungen. Behandeln Sie jeden Schlüssel, der in einen Chat eingefügt wurde, als offengelegt.

Grenzen

• Die Karte hilft nur, wenn Sie sie verwenden. Fügen Sie einen Schlüssel trotzdem ins Nachrichtenfeld ein, steht er im Verlauf. Rotieren Sie ihn dann beim Anbieter und aktualisieren Sie den gespeicherten Wert.
• Veröffentlichte Apps brauchen eine erneute Veröffentlichung, um neue oder geänderte Secrets zu übernehmen.
• Ein sicher gespeicherter Schlüssel macht nicht jede Verwendung sicher. Wo der Schlüssel eingesetzt wird, bleibt wichtig. Halten Sie privilegierte Schlüssel auf der Serverseite Ihrer App.

Weitere Informationen zum Schutz einer App vor der Veröffentlichung finden Sie in unserer Sicherheits-Checkliste für mit KI gebaute Apps.

Die Dokumentation enthält die Details: Umgebungsvariablen und Secrets und Secrets im Chat.