Formal 用 OIDC 讓 Cursor、Devin 只讀訪問生產環境
Formal 用幾個月前上線的 OIDC Integrations，讓 Cursor、Devin 這類本身就是 OIDC 簽發方的雲端 coding agent 以短期憑證、只讀權限訪問其生產資料與雲基礎設施，不必持有長期金鑰。每個整合可設 CEL 條件作為認證門檻，OIDC 宣告欄位也能作為權限輸入，還可呼叫 CreateFederationToken 換取短期 Connector 令牌充當憑證注入代理。
給出了讓雲 agent 訪問生產環境的可審計做法：短期令牌、CEL 條件授權與發起人身份透傳，對需要給 Cursor、Devin 之類 agent 開放內部系統權限的團隊有參考價值。
原標題：We let our cloud agents query prod (with OIDC, not secrets)
閱讀原文
| 評分 | 60 / 58（平均 59，門檻 76） |
|---|---|
| 狀態 | 未入選 |
相關報導
@OpenAIDevs
@OpenAIDevs
@OpenAIDevs: Your dot learns how you work, keeps context across apps, coordinates Codex tasks, and flags what ne…
OpenAI 開發者帳號發布預告，介紹一款名為 dot 的產品：它會學習使用者的工作方式，跨應用保留上下文，協調 Codex 任務，並標記需要使用者關注的事項。該訊息未披露發布時間、價格、支援平台或具體功能細節。
Google OAuth 新增 DPoP 支援，為重新整理令牌繫結持有證明
Google OAuth 平台現已支援 DPoP（Demonstrating Proof-of-Possession），對重新整理令牌做傳送方約束，以抵禦資訊竊取類惡意軟體與中間人攻擊。做法是把長期有效的重新整理令牌與金鑰做密碼學繫結，短期訪問令牌仍按標準 Bearer 令牌使用，因此不會帶來高 QPS 下的 API 效能開銷。開發者若在搭建多智慧體或 MCP 工作負載，還可用 Google Cloud STS 在智慧體鏈路上完成安全的令牌委派。
Ollama Cloud 接入 Fly.io Sprites，閘道器代注入 API 金鑰
Ollama Cloud 現在可在 Fly.io Sprites 的 Linux 沙箱虛擬機器內呼叫，新增的 Ollama Connector 由 Fly.io 閘道器代注入 API 金鑰，沙箱內只暴露閘道器 URL 與 connection ID，agent 無法洩露金鑰。金鑰加密存在 Fly.io 組織下，新建 connector 預設遮蔽所有 Sprite，可按標籤、名稱字首或全部授權，且僅限沙箱內部呼叫。