正文
Vercel向长期API密钥开刀：年底标「不安全」，明年直接下架
动察 Beating AI 快讯，Vercel 宣布，要在自家 Marketplace 淘汰长期静态密钥。
11 月 30 日起，仍依赖长期密钥、又不支持 Vercel OIDC 认证的第三方服务，将被标记为「不安全」。到 2027 年 1 月，不提供安全认证的服务商将被下架。Vercel 自家的 API 和原生集成也要遵守同样标准。
长期密钥就像一把不会自动失效的钥匙。开发者常把它放在环境变量里，让应用或 AI Agent 访问数据库等服务。一旦泄露，攻击者就可能长期使用。Vercel 推动的 OIDC 则让程序凭自身身份获取短期凭据，还能限制访问范围和权限。凭据过期后，SDK 可以自动重新获取，并通过缓存减少额外请求。开发者不必反复手动更换密钥。
Vercel 自己也吃过亏。今年 4 月，第三方 AI 工具 Context.ai 遭入侵，攻击者借此攻入 Vercel 内部系统，读取部分客户的环境变量。公司直到 10 月 16 日才宣布完成全部整改。Vercel 还披露，过去多次密钥轮换已消耗数千工程工时。
Vercel 调查了超过 1000 家 SaaS 服务商，发现仅 8.4% 支持更安全的认证方式。长期密钥之所以普及，就是因为用起来简单。短期凭据虽然更安全，但配置更复杂，还可能增加网络请求延迟。Vercel 正在通过 SDK 和自动缓存降低这些成本，再用 Marketplace 的上架资格倒逼服务商改变认证方式。