Infisical/agent-vault

它解决的问题

Agent Vault 防止“凭证外泄”，AI 代理会因提示注入而被欺骗泄露敏感的 API 密钥或机密。Agent Vault 不直接将凭证交给代理，而是作为安全的中介，管理机密并即时注入到外发请求中。

工作原理

它作为 MITM（中间人）HTTP 代理运行。您将真实的 API 密钥（例如 Anthropic 或 GitHub）存储在保险库中，并通过设置 HTTPS_PROXY 让代理的环境将所有流量路由到此代理。当代理向外部 API 发出请求时，Agent Vault 会拦截请求，将虚拟值或认证头替换为实际凭证，然后将请求转发至目标服务。

目标对象

开发 AI 代理的开发者——包括远程编码代理、通用代理以及自定义代理框架——需要确保代理无法访问或泄漏用于调用外部服务的原始机密。

亮点

• 凭证仲介：在头部使用虚拟值占位，随后注入真实凭证，代理永远看不到机密。
• 透明集成：通过 HTTPS_PROXY 为代理环境引导，与现有工具（MCP、CLI、SDK）无缝合作。
• 出站过滤：允许运营者控制哪些代理可以访问特定服务和 API 端点。
• 可插拔存储：可以使用本地加密存储或外部秘密管理器（如 Infisical）提供动态机密。
• 请求日志：提供已认证流量的可视性，以监控和诊断代理行为。