Agent Vault

Infisical 正式发布了 Agent Vault，这是一个处于研究预览阶段的开源项目，解决 AI 代理（Agent）在访问外部服务时的核心安全难题：如何在不让代理直接读取或持有秘密（Secrets）的前提下，安全地为其提供凭据？

传统的秘密管理模式假设工作负载是确定性的且可信的，但 AI 代理具有非确定性且易受提示注入攻击的特性，这使得直接向其暴露 API Key 或数据库密码变得极度危险。Agent Vault 通过引入“凭据代理”（Credential Proxying）架构，在代理与目标服务之间建立了一道信任边界，确保秘密永远停留在代理之外。

核心挑战：为什么传统模式失效？

• 提示注入风险：恶意行为者可通过诱导代理执行恶意代码或发送请求，从而窃取环境变量中的秘密。
• 凭据外泄（Credential Exfiltration）：一旦代理被操控，攻击者即可获取凭据并进一步实施数据外泄。
• 短期凭据的局限：虽然动态秘密和自动轮换能限制泄露窗口，但无法从根本上阻止凭据被窃取的事实。

解决方案：凭据代理架构

Agent Vault 的核心理念是：代理根本不应该看到底层的秘密。

它作为一个位于代理旁边的专用 HTTP 转发代理（Sidecar 或独立服务），拦截所有出站流量。当代理发起请求时，Agent Vault 会：

1. 拦截请求：在 HTTPS 层终止 TLS 连接。
2. 注入凭据：根据预配置规则，从加密存储中提取正确的 API Key 或 Token 并附加到请求头中。
3. 转发请求：与真正的上游服务建立新的 TLS 连接并发送请求。
4. 返回响应：将结果透传回代理。

在这个过程中，代理只知道自己发出了一个标准的 HTTPS 请求，完全不知晓凭据的存在，从而实现了零信任秘密管理。

工作原理与技术架构

1. 四大核心概念

• Vault（保管库）：存储凭据和服务定义的逻辑容器。
• Credentials（凭据）：API Key、密码等敏感数据。
• Services（服务）：定义代理可访问的主机（如 api.stripe.com）及其认证方案（Bearer, API Key 等）。
• Agents（代理）：代表具体的 AI 代理实例（如 Claude Code, OpenClaw），拥有独立的访问令牌。

2. 接口无关性（Interface Agnostic）

无论代理是通过 API SDK、CLI 命令、MCP 工具还是 Shell 脚本发起请求，最终都会转化为出站 HTTPS 流量。Agent Vault 工作在协议栈底层，通过标准 HTTPS_PROXY 环境变量接管流量，无需修改代理代码或适配特定接口。

3. MITM（中间人）架构

• TLS 终止：Agent Vault 使用本地受信的 CA 证书，向代理呈现为上游服务，从而能够解密流量以注入头部。
• 身份验证：代理在 CONNECT 握手期间使用会话令牌进行身份验证，确保请求限定在特定代理上下文。
• 网络隔离：在生产环境中，应通过网络策略封锁所有其他出站流量，强制所有请求必须经过 Agent Vault。

快速上手

Agent Vault 以可移植二进制文件或 Docker 容器形式发布。

基本流程

1. 创建保管库：添加凭据并定义允许访问的服务。
2. 配置代理环境：
   • 信任 Agent Vault 的 CA 证书。
   • 设置环境变量：HTTPS_PROXY=<agent_credential>:vault@<agent-vault-url>
3. 锁定网络：确保沙箱或容器内只有 Agent Vault 可访问外网。

示例场景

当 Claude Code 尝试调用 api.anthropic.com 时：

1. 请求被路由至 Agent Vault。
2. Vault 识别目标主机，注入 Anthropic API Key。
3. 请求转发至 Anthropic，响应返回给 Claude Code。
4. 结果：Claude Code 完成了任务，但从未接触过 API Key。

未来展望与路线图

Agent Vault 目前处于研究预览版，Infisical 计划在未来几个月内进行重大迭代：

• 优化开发者体验：简化自托管及与各类代理编排工具的集成流程。
• 增强安全性：完善 CA 证书管理、审计日志及细粒度防火墙规则。
• 扩展功能：支持更多凭据类型及基于参数级的请求分析。