凭据代理

您的智能体会发起 API 调用。
它们绝不应持有密钥。

Clavitor Proxy 位于您的 AI 智能体与其调用的 API 之间。凭据在网络层注入——智能体永远无法查看、存储或记录真实的机密。一个二进制文件。一个环境变量。零代码更改。

您已面临的问题

环境变量中的机密

您的智能体从环境中读取 OPENAI_API_KEY。该密钥在 /proc、崩溃转储、CI 日志以及智能体调用的每个工具中均可见。只要泄露一行日志，该密钥就会公开。

智能体内存中的机密

即使智能体在运行时获取密钥，它也会在进程持续期间将其保留在内存中。无论是技能被攻破、提示词注入还是调试转储——密钥都唾手可得。

缺乏使用情况的审计

当 API 密钥作为字符串共享时，不会记录哪个智能体在何时、出于何种目的使用了它。如果密钥泄露，您只能轮换密钥并心存侥幸。没有任何取证追踪线索。

我们希望您尚未遇到的问题

源代码中的 API 密钥

硬编码在配置文件中，提交到 git，并由团队中的每个开发人员和 CI 运行程序克隆。只要有一个公开分支，它就会出现在 GitHub 的机密扫描仪表板上——或者更糟的是，它没有出现。

Slack 中的凭据

“能把 Stripe 密钥发给我吗？”粘贴在私信中，永远可被搜索，并导出到每个合规存档中。Slack 不是保管库。电子邮件、Google Docs 或显示器上的便利贴也不是。

每台笔记本电脑上的 .env 文件

十二名开发人员，十二份生产环境凭据副本存在于永不轮换的纯文本文件中。一台笔记本电脑被盗、一次 ~/.bash_history 泄露、一个自作聪明的备份工具——然后您就得在凌晨 2 点轮换公司的每个密钥。

将凭据从智能体中完全移除。

代理位于智能体与 API 之间。智能体在需要填入机密的位置写入引用——clavitor://OpenAI/key。代理在本地解析该引用，将真实凭据注入 HTTPS 请求并予以转发。智能体的日志中仅显示占位符。API 接收到真实密钥。中间环节不会存储任何内容。

没有环境变量。智能体的内存中没有密钥。命令行上没有凭证。真实密钥从不进入智能体的环境、内存或日志，因此智能体没有可供粘贴、打印或被诱骗泄露的内容。这涵盖经由代理转发的密钥。控制这台机器的人仍可使用该代理，或以 root 从代理的内存中读取密钥；被攻陷的智能体仍可滥用已授予它的访问权限。范围、速率限制与审计可限制这种情况。

# proxy-auth is the proxy's access token, the file beside the binary
$ export HTTPS_PROXY="http://clavitor:$(cat proxy-auth)@127.0.0.1:1983"

$ curl -H "Authorization: Bearer clavitor://OpenAI/key" \
    https://api.openai.com/v1/chat/completions

# The proxy resolved the placeholder. The agent never saw sk-EXAMPLE_not_a_real_key.
# Neither did the logs, the crash dump, or the conversation history.

适用于任何发起 HTTPS 调用的智能体：Claude Code、Codex、OpenClaw、CrewAI、LangChain 及自定义脚本。只需设置一个环境变量，智能体的 API 调用便会通过代理流转。无需 SDK、无需插件、零代码更改。

底层运行机制

按请求在本地解密

代理从保管库获取加密凭据并在设备本地解密。明文仅在进程内存中保留一个 HTTP 请求的周期，随后即被销毁。无缓存，不写盘。每次请求均重新解密。

将字段映射到标头

Bearer 令牌、API 密钥、Basic 身份验证——代理会自动将保管库字段标签映射到相应的 HTTP 标头。智能体也可以通过 clavitor:// 引用精确指定字段。无论采用哪种方式，凭据都会准确到达目标位置，而智能体始终无法窥见其内容。

作用域、速率限制、审计

保管库会强制执行作用域边界和速率限制。如果智能体访问过多不同的凭据，将被自动锁定。所有访问均会被记录。在占位符中加入智能体 ID——clavitor://agentid@Entry/field——即可通过共享代理实现针对单个智能体的审计追踪与速率限制。

部署

一个二进制文件。作为智能体的 Sidecar。无需更改网络基础设施。

单智能体主机

下载二进制文件，使用注册数据块和密钥运行 clavitor-proxy init，在 agent 上设置 HTTPS_PROXY。完成。代理绑定到 127.0.0.1:1983（单个 agent 的边车）。它不会自行绑定到任何其他地址：该端口携带明文访问令牌，因此离开环回地址后它拒绝启动，除非您将 CLAVITOR_PROXY_LISTEN 设为该地址，并在二进制文件旁创建名为 proxy-allow-private 的仅所有者可访问文件，且仅当该地址属于受信任的私有网络（VPN 或 Tailscale）时才这样做。

多智能体主机

每个智能体都有自己的二进制文件副本及其专属的 Sidecar 配置文件。每个副本都有自己的作用域、自己的速率限制和自己的审计追踪。智能体 A 无法看到智能体 B 的凭据。设计即隔离。

云托管代理是高价值目标。

任何在云端运行的凭据代理——无论是您的还是他人的——都是攻击目标。攻破代理，即可获取所有客户的凭据。这并非理论风险，而是所有“凭据代理即服务”的商业模式。

Clavitor 的代理运行在您的基础设施上。在本地解密。凭证在单次请求期间存在于进程内存中。没有云服务持有您的明文密钥。没有 API 端点提供您的机密。没有可供入侵的云端密钥副本。

您的智能体已经在发起 API 调用。
让它们各司其职。

您的保管库、您的作用域、您的审计追踪。代理在网络层增加了一个执行点，且无需对智能体进行任何代码更改。

立即开始技术深度解析 →

您的智能体会发起 API 调用。它们绝不应持有密钥。