Для ИИ-агента scopes особенно важны, потому что агент может не просто отвечать текстом, а выполнять действия. Если токену разрешили читать историю каналов, писать от имени бота и менять настройки, то ошибка в prompt, prompt injection или неверный tool call могут привести к реальным последствиям. Scopes задают техническую границу: что агент вообще способен сделать, даже если модель попросит больше.
Базовое правило - least privilege: выдавать только те права, которые нужны для текущего сценария. Агенту для уведомлений достаточно права отправлять сообщения. Агенту для разбора обращений может понадобиться чтение конкретного канала, но не управление всеми каналами workspace. Для опасных действий лучше делать отдельный токен, action allowlist и approval workflow.
Bot token нельзя хранить в системном prompt, пользовательских сообщениях, публичных логах, trace-выгрузках и документации. Его хранят в переменных окружения, secret manager или защищенном разделе credentials в n8n, Make, Zapier, Laravel, Docker или CI/CD. При подозрении на утечку токен нужно отозвать, выпустить новый и проверить audit log.
В нормальной архитектуре scopes работают вместе с ACL, списком разрешенных действий, rate limit, логами и проверкой входных данных. Scopes не заменяют модерацию и guardrails, но сильно уменьшают ущерб, если агент ошибся или получил вредную инструкцию.
Примеры
- Slack-бот с правом chat:write может отправлять сообщения, но не сможет читать историю канала без channels:history или похожего read-scope.
- Telegram-бот может принимать updates и отправлять сообщения через Bot API, но для удаления сообщений в группе ему нужны права администратора.
- Бот в Microsoft Teams может отвечать в чате, а для чтения календаря или почты через Microsoft Graph потребуются отдельные Graph permissions.
- ИИ-агент для Slack сначала получает read-only доступ к одному каналу, а право писать сообщения включают только после тестов и approval.
- Если bot token попал в лог или репозиторий, его сразу отзывают, выпускают новый и проверяют audit log на подозрительные действия.
- CRM-боту можно разрешить создавать задачи и комментарии, но не удалять сделки и не менять владельцев без подтверждения человека.
Где используется
- настройка Telegram, Slack, Teams или Discord-бота
- ограничение действий ИИ-агента в рабочих чатах
- подключение bot tools к n8n, Make, Zapier или своему backend
- защита от prompt injection, который пытается заставить агента выполнить лишнее действие
- выдача минимальных прав по принципу least privilege
- разделение dev, staging и production токенов
- approval перед внешними сообщениями, удалением данных или изменением CRM
- ведение audit log по сообщениям, tool calls и API-запросам
- ротация и отзыв токенов после утечки
- проверка scopes во время security review ИИ-агента
Связанные термины
Частые вопросы
Чем scopes отличаются от самого токена?
Токен - это секретный ключ доступа. Scopes - это список разрешений, которые говорят платформе, что по этому ключу можно делать. Один токен может иметь мало прав, а другой - слишком широкие права.
Можно ли сразу выдать боту все права?
Лучше не делать так. Чем шире права токена, тем больше ущерб при ошибке агента, уязвимости или утечке. Начинайте с минимальных scopes и добавляйте права только под конкретную функцию.
Можно ли хранить bot token в prompt?
Нет. Prompt может попасть в логи, trace, историю диалога или ответ модели. Токены нужно хранить в secrets, переменных окружения или защищенном хранилище credentials.
Что делать, если bot token утек?
Сразу отзовите или пересоздайте токен, обновите его в приложении, проверьте audit log, посмотрите последние API-действия и убедитесь, что старый токен больше не работает.
Как scopes связаны с approval workflow?
Scopes ограничивают технически возможные действия, а approval workflow добавляет человеческое подтверждение перед рискованным действием. Вместе они снижают риск случайной отправки, удаления или изменения данных.
Почему бот получает 403, хотя токен верный?
Чаще всего не хватает scope, права администратора, доступа к конкретному чату, каналу или workspace. Нужно проверить permissions приложения, членство бота и настройки платформы.
