Безопасность токенов и AI-агентов

API-токен (bbx_pat_…) — это ключ доступа к вашему аккаунту: тот, у кого он есть, может откуда угодно делать всё, что позволяют разрешения токена, пока вы его не отзовёте. Здесь собраны правила безопасной работы с токенами и AI-ассистентами, подключёнными через MCP, и порядок действий, если токен попал к посторонним. Управлять токенами можно на странице «Токены доступа (API)» (blackbox.md/ru/account/api-tokens, «Личный кабинет» → «API-токены»).

Доступно: владельцу аккаунта blackbox.md, который пользуется или собирается пользоваться AI-ассистентом через MCP.

Правила вкратце

Выдавайте минимум разрешений

• Начните с трёх разрешений на чтение — в карточке «Новый токен» они отмечены по умолчанию: «Читать список и статус моих серверов», «Читать баланс, счета и заказы» и «Читать список моих SSH-ключей». Их достаточно, чтобы спрашивать о серверах, балансе и счетах.
• Отдельный токен с красными разрешениями (их пять, они выделены красным) создавайте, только когда хотите, чтобы ассистент администрировал серверы. Кнопка «AI-администратор — полный доступ» отмечает все восемь разрешений: после неё снимите отметки с того, что для задачи не нужно.
• Не отмечайте «Оформлять и изменять заказы от моего имени» (orders:write), если ассистенту не нужно тратить деньги: с этим разрешением он оформляет и оплачивает заказы с баланса, делает апгрейд и отменяет заказы.
• Расширить разрешения токена после создания нельзя. Если нужно больше, создайте новый токен, а старый отзовите.

Что даёт каждое разрешение: Разрешения токенов (scopes). Какие разрешения нужны для конкретной задачи: Примеры задач для AI-ассистента и нужные разрешения.

Опасно «Просматривать пароли/доступы к серверам» (servers:credentials) и «Выполнять любые команды от root на моих серверах» (servers:exec) означают доступ root ко всем серверам, которыми вы управляете из аккаунта. Токен не привязан ни к компьютеру, ни к IP-адресу: попав к постороннему, он будет работать откуда угодно, пока вы его не отзовёте.

Отдельный токен для каждого клиента и устройства

1. Создавайте отдельный токен для каждого AI-клиента и каждого устройства. В поле «Название токена» укажите понятное имя, например «Claude Desktop (ноутбук)» или «Cursor (офис)».
2. Регулярно просматривайте таблицу на странице «Токены доступа (API)». В столбце «Последнее использование» видно, когда токен использовался в последний раз, или написано «никогда»; значение обновляется не чаще раза в минуту.
3. Для токенов, которыми вы больше не пользуетесь или которые не узнаёте, нажмите «Отозвать» и подтвердите кнопкой «Отозвать» в окне «Отозвать токен?». Доступ прекращается сразу.

При создании и отзыве токена письма не отправляются, поэтому список на этой странице — единственное место, где видны ваши токены. Пошагово: API-токены: создание, копирование и отзыв.

Как периодически заменять токен

Срока действия у токенов нет, и задать его на странице нельзя. Меняйте токены периодически, а также при смене устройства или когда человек, видевший токен, перестал с вами работать.

1. В карточке «Новый токен» создайте токен с новым названием и теми же разрешениями, что у старого (в столбце «Разрешения» они показаны кодами, например servers:read).
2. Скопируйте его кнопкой «Копировать» (токен показывается только один раз) и укажите в AI-клиенте вместо старого.
3. Попросите ассистента вызвать whoami. Если новый токен работает, в ответе будут его разрешения (scopes) и недостающие разрешения (missing_scopes).
4. В строке старого токена нажмите «Отозвать» и подтвердите.

Где хранить токен

• Указывайте токен прямо в настройках AI-клиента, храните его в менеджере паролей или в переменной окружения.
• Не вставляйте его в переписку (в том числе в чат с AI-ассистентом), на скриншоты, в письма и тикеты — даже для поддержки BLACKBOX.
• Не записывайте его в файлы, которые попадают в git-репозиторий. Если файл конфигурации лежит в проекте, используйте переменную окружения. Например, в файле .mcp.json для Claude Code:

{
  "mcpServers": {
    "blackbox": {
      "type": "http",
      "url": "https://api.app.blackbox.md/mcp",
      "headers": {
        "Authorization": "Bearer ${BBX_PAT}"
      }
    }
  }
}

Токен хранится в переменной окружения BBX_PAT, а не в файле. Настройка каждого клиента: Подключение из Claude Code, Cursor, VS Code и других клиентов.

Если токен всё же попал в git-репозиторий, отзовите его. Удалить файл или коммит недостаточно: токен остаётся в истории репозитория.

Что видит провайдер AI

Всё, что возвращают инструменты MCP, попадает в AI-клиент и к провайдеру, на стороне которого работает модель: список серверов и IP-адреса, баланс и счета, результат команд на сервере, а с servers:credentials — пароль root и приватный SSH-ключ, который BLACKBOX выпускает для ассистента. Ассистенту предписано не выводить секреты в чат без вашей просьбы, но модель их всё равно получает.

• Пользуйтесь провайдером AI, которому доверяете, и ознакомьтесь с его условиями хранения данных.
• Если не хотите, чтобы пароль root, который видел ассистент, оставался действующим, сбросьте его после окончания работы: Сброс пароля root.

Подтверждение действий в AI-клиенте

Сервер MCP BLACKBOX помечает инструменты, которые что-то меняют или раскрывают секреты, чтобы AI-клиент спрашивал ваше подтверждение перед их запуском. Но окно подтверждения показывает AI-клиент, а не BLACKBOX. Если включить автоматическое одобрение («always allow», автозапуск или похожая настройка — зависит от клиента), подтверждений больше не будет.

Ассистенту предписано спрашивать вашего согласия только перед тем, как тратить деньги (оформление и оплата заказа, апгрейд), отменять заказ, удалять SSH-ключ с сервера, отключать вход по паролю или заменять ключ агента. Остальное — команды на сервере, установка программ, перезагрузки, сброс пароля root, добавление SSH-ключей — ему предписано выполнять сразу, не спрашивая. Для этих действий окно подтверждения в клиенте — единственная проверка.

Когда вы работаете с MCP из собственного кода (через API провайдеров AI), окна подтверждения нет: инструменты выполняются, как только модель их вызывает, если вы сами не запрограммировали подтверждение. Используйте там токен только для чтения или ограничьте список разрешённых инструментов: Использование MCP из кода (AI API и HTTP).

Внимание Не включайте автоматическое одобрение для инструментов, которые тратят деньги или меняют серверы. Эти подтверждения защищают ваш баланс и данные. Например, отмена заказа с работающим сервером сразу удаляет сервер вместе со всеми данными.

Скрытые инструкции в содержимом (prompt injection)

AI-ассистент выполняет инструкции, записанные текстом. В содержимом из непроверенного источника — на веб-странице, в лог-файле, письме, файле из чужого проекта и даже в выводе команды — могут оказаться инструкции, подложенные кем-то другим. Так ассистента с servers:exec или servers:credentials можно обманом заставить выполнить команды от root или передать пароли.

• Не используйте токен с красными разрешениями в сессии, где ассистент ходит по сайтам, читает почту или обрабатывает файлы, полученные от других людей.
• Читайте каждую команду, прежде чем её подтвердить. Остановитесь, если ассистент предлагает то, о чём вы не просили: скачать и запустить скрипт из интернета, добавить SSH-ключ или пользователя, отправить данные на неизвестный адрес или показать пароли.
• После того как ассистент прочитал логи или веб-страницы, проверяйте предлагаемые им команды особенно внимательно.

Как ассистент попадает на сервер

Ассистенту не нужен ни пароль root, ни ваш SSH-ключ. На каждом VPS-сервере BLACKBOX хранит ключ управления — в панели он отображается как «Ключ управления (blackbox.md)» в списке «Установленные ключи». Команды через run_server_command выполняются от root через это подключение BLACKBOX. Поэтому, чтобы выполнять команды на ваших серверах, достаточно одного токена с servers:exec. Подробнее: Ключи BLACKBOX на вашем сервере.

• Доступ ассистента прекращается отзывом токена, а не удалением ключа управления. Без этого ключа перестанут работать и функции панели, например «Сбросить пароль».
• С servers:credentials ассистент может получить пароль root или собственный приватный SSH-ключ (ключ агента с комментарием blackbox-agent-…). Они остаются действующими и после отзыва токена — пока вы не сбросите пароль или не удалите ключ с сервера.

Если токен попал к посторонним

1. Отзовите токен: «Личный кабинет» → «API-токены» → «Отозвать» в его строке, затем подтвердите кнопкой «Отозвать». Клиент, который им пользовался, теряет доступ при следующем запросе.
2. Если неизвестно, какой именно токен утёк, отключите все сразу, сменив пароль аккаунта blackbox.md (не пароль панели): «Личный кабинет» → «Профиль» → «Изменить пароль». Токены, созданные до смены пароля, перестают работать, но остаются в списке без каких-либо пометок, поэтому отзовите и их. Пошагово: Смена пароля аккаунта.
3. Посмотрите столбцы «Разрешения» и «Последнее использование» этого токена. Если им пользовались после того, как вы его потеряли, выполните проверки из таблицы ниже.
4. Создайте новые токены только для тех AI-клиентов, которыми продолжаете пользоваться.
5. Напишите на support@blackbox.md или создайте тикет (Создание тикета в поддержку). Укажите название токена и время из столбца «Последнее использование», но не сам токен.

Если после удаления ключа blackbox-agent-… вы продолжаете пользоваться SSH-доступом через AI, попросите ассистента выпустить новый ключ с regenerate=true, иначе на сервер вернётся старый. Подробнее: SSH-доступ и SSH-ключи через AI-ассистента.

Важно Если вы создали аккаунт через Google или GitLab, пароля на blackbox.md у него нет: на странице «Профиль» нет раздела «Пароль», и шаг 2 выполнить нельзя. В этом случае отзовите каждый токен кнопкой «Отозвать».

Ответственность за токены

Согласно Условиям использования (§3), вы отвечаете за защиту паролей, SSH-ключей, API-токенов и второго фактора аутентификации. Всё, что AI-ассистент или кто-либо другой делает с вашим токеном, делается от имени вашего аккаунта, включая платежи с баланса. BLACKBOX не несёт ответственности за использование аккаунта третьими лицами, если не доказан взлом его систем. Основные положения: Условия использования: кратко.

Частые вопросы

Отключает ли токены выход из аккаунта на blackbox.md? Нет. Ни выход из аккаунта, ни «Выйти везде» или смена пароля в панели на токены не влияют. Отключают их только «Отозвать» и смена пароля аккаунта blackbox.md.

Токен случайно попал в чат с ассистентом. Что делать? Переписка уходит к провайдеру AI и может остаться в истории клиента. Создайте новый токен, укажите его в клиенте, а старый отзовите.

Нужно ли отправлять токен в поддержку, чтобы там разобрались с проблемой? Нет. Для диагностики достаточно названия токена, его разрешений и текста ошибки из AI-клиента.