Fullmakt Rails

Planlagt produkt — ikke live ennå. Fullmakt Rails er under utvikling (AGT-02). Denne siden beskriver den planlagte utformingen; ingen av endepunktene er kallbare i dag.

Fullmakt Rails er Apiers planlagte myndighetslag: infrastrukturen som skal la et norsk selskap gi en AI-agent et avgrenset mandat til å handle på selskapets vegne — og trekke det tilbake når som helst. I stedet for at agenten holder selskapets rå legitimasjon, vil selskapet delegere en avgrenset fullmakt gjennom en Altinn systembruker, og hver handling agenten gjør skal kontrolleres mot delegeringen før den når et offentlig endepunkt.

Målet er en delegering som er avgrenset (begrenset til navngitte handlinger, ikke full tilgang), tilbakekallbar (selskapet kan trekke den, og agentens myndighet opphører) og sporbar (hver bruk registreres). Apier formidler dette gjennom Altinns autorisasjonsmodell — vi finner ikke opp en parallell modell — slik at myndigheten en agent holder er den samme myndigheten et norsk selskap kan gi, se og tilbakekalle i Altinn.

Hvem det er for

• Virksomheter som vil la en AI-agent håndtere en smal, veldefinert regulatorisk oppgave uten å gi agenten stående tilgang til alt organisasjonen kan gjøre i Altinn.
• Agentutviklere som bygger på Apier og trenger en maskin-til-maskin-måte å be om en fullmakt, sjekke om de holder den, og levere den tilbake — uten at et menneske må klikke seg gjennom en portal ved hver kjøring.

Slik er det ment å virke

• Delegeringen bor i Altinn. Selskapet gir en systembruker-delegering; Apier leser og handler innenfor den, aldri utenfor.
• Rich Authorization Requests (RAR). Agentens tilgang uttrykkes som et avgrenset RAR-token (urn:altinn:systemuser), slik at myndigheten bæres av tokenet — ikke antas fra det å ha en nøkkel.
• PDP-verifisert ved hvert kall. Før en handling videresendes til et offentlig API, kontrolleres delegeringen mot Altinns Policy Decision Point (PDP). Dekker ikke mandatet handlingen, avvises kallet med en strukturert feil.

Planlagte endepunkter

Endepunktene /api/v1/fullmakt/request, /api/v1/fullmakt/{org} og /api/v1/fullmakt/revoke er den planlagte Fullmakt Rails-flaten. Ingen av dem er kallbare i dag — denne siden er et stillas som ligger foran implementeringen. Se den engelske Fullmakt-dokumentasjonen for detaljer etter hvert som de landes.