AAO'nun adagents. dosyası IAB schain ile çapraz doğrulama yapmıyor, ajan yetkilendirmesi denetimsiz kalıyor

Farklı bir soruyu yanıtlayan dördüncü bir güven dosyası

AgenticAdvertising.org (AAO), bir yayıncının envanterini temsil etmesine izin verilen satış ajanlarını beyan eden, yayıncı tarafında kullanılan adagents. spesifikasyonunu yayımladı. dev.to'da yayımlanan bir analiz, yeni dosyanın yapısal bir sorununa dikkat çekiyor: Dosya, IAB Tech Lab'ın halihazırda inşa ettiği güven zincirinin sorduğundan farklı bir soruyu yanıtlıyor ve alıcılara gerçekten ulaşan bid isteği bu iki yanıttan yalnızca birini taşıyor.

Mevcut zincir nasıl çalışıyor

dev.to gönderisine göre mevcut yığın üç yapı üzerine kurulu. ads.txt, yayıncının yetkili satıcı ID'lerinin listesidir. sellers., bu ID'leri her aracıdaki gerçek hesaplarla eşleştirir. OpenRTB bid isteklerine eklenen source.schain ise belirli bir isteğin açık artırmaya giden yolda kat ettiği atlaları listeler. Üçünü birlikte uzlaştıran bir alıcı, belirli bir gösterimin kimin tarafından satılmaya yetkili olduğuna dair eksik ama kullanılabilir bir tablo elde eder.

/.well-known/ yolundan sunulan adagents. bu zincirin içine yerleşmiyor. Dosya satıcı ID'leri yerine ajanları isimlendiriyor ve OpenRTB 2.6, belirli bir isteği hangi ajanın ürettiğini tanımlayan bir alan sunmuyor. Sonuç, alıcıların ayrı olarak çekip uzlaştırması gereken dördüncü bir dosya; çünkü protokolde onu diğer üçüne bağlayan hiçbir şey yok.

Uygulamadaki uyumsuzluk

Gönderi, bu kopukluğun mümkün kıldığı birçok başarısızlık modunu sıralıyor. Bir AdCP veya AAMP yolu, adagents.'ta yayıncının hiç dahil etmediği bir ajan olmasına rağmen ads.txt içinde yetkili satıcı olarak listelenebiliyor. Tersi de geçerli: Yayıncının listediği bir ajan, isteğin schain yapısında yer almayabilir ya da asi girdisi ajanın URL'siyle eşleşmeyebilir.

Açık artırma anında bu farkı işaretleyen hiçbir şey yok. İstek sıradan bir bid isteği gibi görünür, deal ID'leri imp.pmp.deals içinde gelir ve paketi müzakere eden ajan, payload içinde herhangi bir yerde birinci sınıf bir nesne olarak temsil edilmez. Doğrulaması schain bütünlüğünü, atlama parametrelerini ve ads.txt üyeliğini kapsayan bir alıcı, bu nedenle bir ajanın temsil etmeye hiç yetkili olmadığı envanteri kabul edecektir. Bugün iki spesifikasyondan hiçbiri diğerini çapraz doğrulamıyor.

Analiz ne öneriyor

dev.to gönderisi, alıcı tarafı için pratik önerilerle sona eriyor:

• source.schain yapısını ads.txt ve sellers. ile uzlaştırmaya devam edin; agentic satın alımın gelişi bu yığını geçersiz kılmadı.
• Halihazırda ads.txt için taranan yayıncılar için adagents. dosyasını de tarayın ve satıcı listesinin yanında saklayın; politika aksini gerektirmedikçe eksik dosyayı yetkisiz değil, bilinmiyor olarak değerlendirin.
• Ajanlar için bir schain düğüm tipi uydurmaya direnin; SupplyChain 1.1'in hp=0 custody düğümleri ayrı bir öneriye aittir.
• İsteğin şeklini varsaymak yerine gerçekte alınan bid isteğini doğrulayın.

Yazar ayrıca, gönderide atıf yapılan RTBlint'in adagents. dosyalarını taradığını da ajanları sertifikalandırdığını da belirtmiyor; geçerli bir schain tek başına bir ajanın listelendiğinin kanıtı değil. Analiz, IAB Tech Lab'dan da AgenticAdvertising.org'dan da bağımsız.

Neden önemli

Reklam sahteciliği tarihsel olarak güven sistemleri arasındaki derzlerde yaşamıştır ve bu yeni bir derz. Yayıncılar artık hangi ajanların kendi adlarına satış yapabileceğini beyan etmenin bir yoluna sahip; ancak bu beyan, alıcıların bid anında incelediği nesnenin dışında duruyor. İki ekosistem — dosyalar arası çapraz referanslarla ya da bir isteği onu üreten ajana bağlayan bir OpenRTB alanıyla — birlikte çalışana dek, geçen her schain doğrulaması ajan yetkilendirmesi konusunda sessiz kalacak. Kapsam isteyen alıcılar ek bir tarama ve ek bir politika kuralı eklemek zorunda; istemeyenler ise artık eskisi gibi bir anlam taşımayan bir denetim altında gösterimlere onay vermeye devam edecek.