‏پروتکل XAA اوکتا به ۲۵ شریک رسید و گیت‌وی‌ها نقطه‌ی کنترل هویت ایجنت‌ها شدن

شرکت TrueFoundry که گیت‌وی هوش مصنوعی می‌سازه، ۱ اکتبر اعلام کرد پروتکل Cross App Access یا XAA اوکتا رو به گیت‌وی خودش اضافه کرده. XAA یه پروتکل باز اوکتاست برای کنترل اتصال ایجنت‌ها به اپ‌ها. با این کار، خود گیت‌وی می‌شه نقطه‌ی چک هویت، یعنی جایی که ایجنت قبل از اینکه درخواستش به ابزار یا سرور MCP برسه، باید اعتبارش رو نشون بده. حالا اکوسیستم XAA بیش از ۲۵ پذیرنده‌ی اولیه داره و محیط آزمایشی توسعه‌دهنده‌هاش هم این ماه باز شده.

مشکلی که XAA حلش می‌کنه ساده‌ست: بیشتر ایجنت‌ها تو production با کلیدهای ثابت API احراز هویت می‌کنن. این کلیدها منقضی نمی‌شن، معمولاً به یه کار خاص محدود نیستن و تقریباً هیچ ردی از خودشون نمی‌ذارن. طبق تحقیق اوکتا که TrueFoundry بهش استناد کرده، ۸۸ درصد سازمان‌ها حادثه‌ی امنیتی قطعی یا مشکوک با ایجنت‌ها داشتن. همچنین ۹۲ درصد کسایی که نشت مرتبط با هوش مصنوعی داشتن، کنترل دسترسی درستی نداشتن.

XAA جای کلید ثابت یه توکن کوتاه‌مدت می‌ده که فقط برای همون کار ایجنت معتبره. این توکن همون لحظه بر اساس هویت فعال کاربر تو اوکتا صادر می‌شه، هر وقت بخوای می‌شه باطلش کرد و لاگ هم می‌شه. XAA روی استاندارد ID-JAG ساخته شده، یعنی یه افزونه‌ی باز OAuth که حالا افزونه‌ی رسمی احراز مجوز تو MCP هم هست. پس به هیچ فروشنده‌ای وابسته نیست.

Agent SSO که آگوست ۲۰۲۶ عرضه شد، XAA رو بدون هزینه‌ی اضافه به پلن‌های workforce اوکتا برای بیش از ۲۰ هزار مشتری آورد و ایجنت‌ها رو کنار کاربرای انسانی تو همون دایرکتوری گذاشت. ثبت XAA تو OIN با نسخه‌ی 2026.09.0 به GA رسید، ولی خود پروتکل هنوز تو Early Access هست و GAش برای FY27 برنامه‌ریزی شده.

گیت‌وی TrueFoundry روی هر درخواست توکن اوکتا رو چک می‌کنه، با اوکتا token exchange انجام می‌ده تا یه ID-JAG مخصوص سرور MCP مقصد بگیره، و بعد یه توکن کوتاه‌مدت فقط برای همون سرور صادر می‌کنه. اینجوری گیت‌وی می‌تونه XAA رو به سرورهای MCPی هم برسونه که خودشون این پروتکل رو پشتیبانی نمی‌کنن. تو این معماری، اوکتا تصمیم می‌گیره (Policy Decision Point) و گیت‌وی اجرا می‌کنه (Policy Enforcement Point).

فهرست شرکای XAA الان شامل Cloudflare، Keycloak، WorkOS، Stytch، Zuplo و چند فروشنده‌ی دیگه‌ست و Aembit هم سپتامبر اولین نقطه‌ی اجرای شخص ثالث شد. Anthropic، Zoom، Slack، Atlassian، Docker، Cursor و Figma هم جزو پذیرنده‌های اولیه‌ان. نویسنده می‌گه الگوی اوکتا آشناست: استاندارد رو تعریف کن و بذار اکوسیستم اجراش رو بسازه. به گفته‌ی مقاله، XAA تو لایه‌ی ارائه‌دهنده‌ی هویت می‌شینه، زیر بقیه‌ی لایه‌های امنیتی مثل گیت‌وی‌ها و سندباکس‌های Kubernetes.

نکات کلیدی:

• TrueFoundry ۱ اکتبر XAA اوکتا رو تو گیت‌وی هوش مصنوعیش ادغام کرد.
• اکوسیستم XAA بیش از ۲۵ پذیرنده‌ی اولیه داره، از جمله Anthropic، Slack و Figma.
• XAA روی استاندارد ID-JAG ساخته شده و افزونه‌ی رسمی احراز مجوز MCP هست.
• جای کلید ثابت API، توکن کوتاه‌مدت، قابل ابطال و لاگ‌شده صادر می‌شه.
• Agent SSO از آگوست ۲۰۲۶ برای بیش از ۲۰ هزار مشتری اوکتا رایگانه.
• خود پروتکل XAA هنوز Early Access هست و GAش برای FY27 برنامه‌ریزی شده.