开源工具 kdbx：让 AI 代理安全使用密钥而不泄露

nabsha · reddit · 2026-08-01

开发者发现 Claude Code 会读取 .env 文件获取配置，导致 API 密钥出现在他人服务器的转录中。为此他开发了开源工具 kdbx，将密钥存放在仓库外的 KeePassXC 保险库中，通过 kdbx run -- npm test 注入子进程，不打印任何内容。代理可以运行需要凭据的任务，但写入、显示或导出密钥仍需人工操作。该工具旨在防止意外泄露，而非抵御攻击。作者对比了 1Password、Doppler、Infisical、sops、age、direnv 等方案，最终选择 KeePassXC 以实现本地离线、仓库外存储和按项目布局。