Proxy de credenciais
Seus agentes fazem chamadas de API.
Eles nunca devem guardar as chaves.
O Clavitor Proxy fica entre seus agentes de IA e as APIs que eles chamam. As credenciais são injetadas na camada de rede — o agente nunca vê, armazena ou registra o segredo real. Um binário. Uma variável de ambiente. Zero alterações de código.
O problema que você já tem
Segredos em variáveis de ambiente
Seus agentes leem OPENAI_API_KEY do ambiente. Essa chave é visível em /proc, em dumps de falha, em logs de CI, em todas as ferramentas que o agente invoca. Uma linha de log vazada e a chave se torna pública.
Segredos na memória do agente
Mesmo que o agente busque a chave em tempo de execução, ele a mantém na memória durante o processo. Uma skill comprometida, uma injeção de prompt, um dump de depuração — a chave está lá para ser pega.
Sem auditoria do que foi usado
Quando uma chave de API é compartilhada como uma string, não há registro de qual agente a usou, quando ou para quê. Se a chave vazar, você a rotaciona e espera. Não há rastro forense.
Os problemas que esperamos que você não tenha
Chaves de API no código-fonte
Codificadas em um arquivo de configuração, commitadas no git, clonadas por todos os desenvolvedores e runners de CI da equipe. Um fork público e ela estará no painel de escaneamento de segredos do GitHub — ou pior, não estará.
Credenciais no Slack
"Você pode me enviar a chave do Stripe?" Colada em uma mensagem direta, pesquisável para sempre, exportada em todos os arquivos de conformidade. O Slack não é um cofre. Nem o e-mail, Google Docs ou um post-it em um monitor.
Arquivos .env em todos os laptops
Doze desenvolvedores, doze cópias de credenciais de produção em arquivos de texto simples que nunca são rotacionadas. Um laptop roubado, um vazamento em ~/.bash_history, uma ferramenta de backup excessivamente prestativa — e você está rotacionando todas as chaves da empresa às 2 da manhã.
Remova as credenciais do agente completamente.
O proxy fica entre o agente e a API. O agente escreve uma referência — clavitor://OpenAI/key — onde o segredo deveria ir. O proxy a resolve localmente, injeta a credencial real na requisição HTTPS e a encaminha. Os logs do agente mostram o placeholder. A API recebe a chave. Nada no meio a armazena.
Sem variáveis de ambiente. Sem segredos na memória do agente. Sem credenciais na linha de comandos. A chave real nunca entra no ambiente, na memória ou nos registos do agente, pelo que o agente não tem nada para colar, imprimir ou ser induzido a revelar. Isto abrange as chaves encaminhadas pelo proxy. Alguém que controla a máquina pode ainda assim usar o proxy, ou ler a chave da memória do proxy com root, e um agente comprometido pode ainda assim usar indevidamente o acesso que lhe foi dado. O âmbito, os limites de taxa e a auditoria limitam isso.
# proxy-auth is the proxy's access token, the file beside the binary
$ export HTTPS_PROXY="http://clavitor:$(cat proxy-auth)@127.0.0.1:1983"
$ curl -H "Authorization: Bearer clavitor://OpenAI/key" \
https://api.openai.com/v1/chat/completions
# The proxy resolved the placeholder. The agent never saw sk-EXAMPLE_not_a_real_key.
# Neither did the logs, the crash dump, or the conversation history.Funciona com qualquer agente que faça chamadas HTTPS: Claude Code, Codex, OpenClaw, CrewAI, LangChain, scripts personalizados. Defina uma variável de ambiente e as chamadas de API do agente fluirão pelo proxy. Sem SDK, sem plugin, sem alterações de código.
O que acontece nos bastidores
Descriptografa localmente, por requisição
O proxy busca a credencial criptografada do cofre e a descriptografa no dispositivo. O texto plano existe na memória do processo para uma requisição HTTP, depois desaparece. Nada é cacheado. Nada é gravado em disco. Cada requisição descriptografa do zero.
Mapeia campos para cabeçalhos
Tokens Bearer, chaves de API, autenticação Basic — o proxy mapeia os rótulos dos campos do cofre para os cabeçalhos HTTP corretos automaticamente. Ou o agente escolhe o campo exato com uma referência clavitor://. De qualquer forma, a credencial chega ao lugar certo sem que o agente a veja.
Escopos, limites de taxa, auditoria
O cofre impõe limites de escopo e limites de taxa. Um agente que acessa muitas credenciais distintas é automaticamente bloqueado. Cada acesso é registrado. Inclua um ID de agente no placeholder — clavitor://agentid@Entry/field — para trilhas de auditoria e limites de taxa por agente através de um proxy compartilhado.
Implantação
Um binário. Sidecar para o agente. Sem alterações na infraestrutura de rede.
Host de agente único
Descarregue o binário, execute clavitor-proxy init com o blob de inscrição e a chave, defina HTTPS_PROXY no agente. Feito. O proxy vincula-se a 127.0.0.1:1983 (sidecar de um agente). Não se vincula a nenhum outro endereço por si só: a porta transporta um token de acesso em claro, por isso, fora do loopback, recusa-se a arrancar, a menos que defina CLAVITOR_PROXY_LISTEN para o endereço e crie também um ficheiro exclusivo do proprietário chamado proxy-allow-private junto do binário, o que só faz quando esse endereço é uma rede privada de confiança (VPN ou Tailscale).
Host de múltiplos agentes
Cada agente recebe sua própria cópia do binário com seu próprio arquivo de configuração sidecar. Cada cópia tem seu próprio escopo, seus próprios limites de taxa, sua própria trilha de auditoria. O Agente A não pode ver as credenciais do Agente B. Isolamento por design.
Cada proxy de credenciais que roda na nuvem — sua ou de outra pessoa — é um alvo. Invada o proxy, obtenha as credenciais de todos os clientes. Esse não é um risco teórico. É o modelo de negócios de todo serviço de proxy de credenciais como serviço.
O proxy do Clavitor corre na sua infraestrutura. Desencripta localmente. A credencial existe na memória do processo durante o tempo de um pedido. Não existe nenhum serviço na nuvem a guardar as suas chaves em texto simples. Não existe nenhum endpoint de API a servir os seus segredos. Não há nenhuma cópia na nuvem das suas chaves para violar.
Seus agentes já estão fazendo chamadas de API.
Mantenha-os em sua própria pista.
Seu cofre, seus escopos, sua trilha de auditoria. O proxy adiciona um ponto de aplicação na camada de rede com zero alterações de código no agente.