OpenFGA oddeľuje oprávnenia od agenta: kto smie čítať konkrétny firemný dokument

Firemný asistent môže nájsť tematicky správny dokument, ktorý daný používateľ nesmie otvoriť. Práve túto hranicu rieši samostatná autorizácia. OpenFGA opisuje prístup ako vzťahy medzi používateľmi a objektmi, nie ako pokyn v systémovom prompte. Jeho dokumentácia modelovania začína typmi objektov a pomenovanými vzťahmi, z ktorých sa odvodzuje oprávnenie.

Pre startup s interným vyhľadávaním to znamená možnosť vyjadriť, že dokument má vlastníka, určitého čitateľa alebo oprávnenie zdedené zo zložky. Redakčný príklad je obchodný tím, ktorý vidí vlastné zákazky, ale nie personálne dokumenty. Model AI nemusí tieto pravidlá sám vykladať: dostane až obsah, ktorý prešiel rozhodnutím autorizačnej vrstvy.

OpenFGA rozlišuje autorizačný model od uložených vzťahových záznamov. Model určuje, ktoré vzťahy sú prípustné a ako sa odvodzujú; konkrétne záznamy pripájajú používateľa alebo skupinu ku konkrétnemu objektu. Dokumentácia následne ukazuje operácie na overenie alebo zisťovanie vzťahov.

Check odpovedá na otázku, či má používateľ daný vzťah k objektu. ListObjects umožňuje hľadať objekty, ku ktorým má požadovaný prístup. Výber operácie závisí od toho, či aplikácia už pozná kandidátny dokument alebo potrebuje vytvoriť zoznam dostupných dokumentov. To je odlišné od merania sémantickej podobnosti: autorizačný systém nevyberá najlepšiu odpoveď, ale rozhoduje, ktoré objekty vôbec prichádzajú do úvahy.

Ako architektonický návrh odporúčame kontrolu zaradiť pred načítanie chráneného textu do kontextu modelu a pred vykonanie citlivého nástroja. Najprv však musí aplikácia spoľahlivo určiť používateľa a priradiť dokumenty k stabilným identifikátorom. Samotná existencia Check API nenaplní vzťahy a neopravia sa ňou nesprávne údaje o členstve v tíme.

Projekt je dostupný pod Apache 2.0. Znamená to možnosť prevádzkovať autorizačnú komponentu vo vlastnom riešení, nie automatickú záruku správnosti navrhnutého modelu. V úvodnom pilote by sme overili aj odobratie prístupu a rozdiel medzi priamym a odvodeným oprávnením. Článok vychádza z dvoch odlišných technických dokumentov a licencie načítaných 18. októbra 2026; nedokladá vlastný bezpečnostný audit ani nový release.

Repozitár https://github.com/openfga/openfga bol overený 18. októbra 2026 na commite fb8e7df86674. GitHub uvádzal vydanie v1.22.0 z 2026-10-06. Opisovaný mechanizmus nie je tvrdením, že vznikol až v tomto vydaní.