先做个灵魂拷问：你上一次给 Claude Code、Cursor、Codex 配密钥，是怎么干的？八成是 export ANTHROPIC_API_KEY=sk-ant-... 写进 .env，或者干脆 cat .env | pbcopy 然后粘进对话框。你有没有想过——这一刻，你的生产环境密钥已经进了大模型的上下文。
而上下文是会"出差"的：它会被打包发给 Anthropic / OpenAI 的云端，可能被缓存、被记进对话日志、被同步到团队共享的会话里；更要命的是，一段 prompt injection 就能让 agent 把密钥原样吐到下一个 HTTP 请求里。2026 年，海外把这种风险叫 credential exfiltration（凭据外泄），而今天 HN 上悄然起势的，是一个全新的解法范式——零知识凭据层：让 agent 用得了密钥，但永远看不见密钥原文。
今天这期，我给你拆四把刚冒头的"零知识锁"，以及它对你接下来部署 agent 意味味着什么。
在拆工具前，必须先理解这个范式转变，否则你会觉得这四款工具"多此一举"。
老范式（你现在在用的）： agent 持有真实密钥 → 自己签请求 → 自己调 API。问题是，agent 的"脑子"就是它的上下文，密钥一旦进上下文，就等于公开了。
新范式（2026 海外新共识）： agent 永远只拿到一个假密钥（比如 FAKE_KEY 或 __anthropic_api_key__）。它拿着假密钥去敲门，中间有一个"代客开门"的网关/代理，在请求离开 agent 的瞬间，把假密钥换成真密钥，再发往目标 API。agent 全程只见过假密钥，prompt injection 再狠，它吐出来的也就是个 FAKE_KEY。
一句话总结这场信息差：老外已经不给 agent 真密钥了，国内还在往 prompt 里贴。
下面这张图说清两条路径的天壤之别：
flowchart LR
subgraph OLD["老范式：agent 持有真密钥（危险）"]
A1[Agent 拿到真密钥<br/>sk-ant-xxxx] --> A2[密钥进入上下文/Transcript]
A2 --> A3[发给云端 + 写入日志]
A2 -. Prompt Injection .-> A4[密钥被原样外泄]
end
subgraph NEW["新范式：零知识凭据层（安全）"]
B1[Agent 只拿假密钥<br/>FAKE_KEY] --> B2[发请求到本地代理/网关]
B2 --> B3[代理注入真密钥<br/>OS Keychain / Vault]
B3 --> B4[请求转发到真实 API]
B2 -. 即使被注入 .-> B5[吐出来的只有 FAKE_KEY]
end
style A4 fill:#f4cccc
style B5 fill:#d9ead3
理解了这个范式，下面四款工具你就一眼能看懂——它们只是这个范式的四种落地姿势。
这是今天最性感的一个，设计哲学简单到一句话——一个没有 get 方法的密钥库。作者 royashbrook 的原话："a plain getter is the leak"（一个普通的 getter 方法本身就是泄密点）。所以 Hush 压根不给你"读取密钥"的能力，只有"把密钥注入命令"的能力。
怎么用（三步）：
# 1. 人来存（agent 永远碰不到录入）—— 弹隐藏对话框，你手输
hush set my-vendor-token
# 2. agent 用（注入进命令，绝不回显）
hush run TOKEN=my-vendor-token -- curl https://api.x.com/data
# 3. 列表（只给名字，永远不给值）
hush list
关键点：密钥只存在 OS 钥匙串（macOS Keychain / Linux libsecret / Windows DPAPI），hush run 把它直接塞进子进程的环境变量并执行，密钥值永远不会出现在 stdout、不会进 transcript、不会上云。
更骚的是它的 Claude Code 原生适配：直接 git clone https://github.com/royashbrook/hush ~/.claude/skills/hush，它就自动作为 Claude Code 的 skill 加载。而且仓库里有个 SKILL.md，相当于 agent 的"自助入职手册"——你把仓库 URL 丢给 agent，它自己读完就知道怎么用 Hush 来管密钥，唯一需要人做的事，就是 paste 那一刻（弹个隐藏输入框，agent 看不见）。
为什么值得关注：它是四个里最轻、最贴 Claude Code 的，零依赖、零后端，单机党直接起飞。国内做 Claude Code / Cursor 自动化的开发者，几乎人手都在裸奔贴 key，这个是当下最低成本的止血。
国内对比：国内没有对标物。阿里云/腾讯云的 KMS 是给后端服务加密用的，跟 agent 工作流是两套语境；Hush 填的是"agent 本地跑、key 不进上下文"这个真空。
适合谁：单机用 Claude Code / Codex CLI / 本地 agent 的独立开发者、需要给 agent 配十几个第三方 API key 的自动化玩家。
这是四个里最有大厂背景、最企业级的，背后是开源密钥管理领域的头部玩家 Infisical（GitHub 星标过万）。它不是让你改 agent 代码，而是在你 agent 和外网 API 之间架一个 MITM 代理。
核心机制：
- 你把真实密钥（ANTHROPIC_API_KEY、GITHUB_PAT 等）存进 Agent Vault；
- agent 那边只用一个占位符，比如 __anthropic_api_key__；
- 你通过 HTTPS_PROXY 环境变量，把 agent 的所有出站流量导到 Agent Vault；
- 代理拦截每一个请求，把占位符换成真密钥（或整段替换 auth header），再转发出去。
它比通用代理（mitmproxy / squid）强在哪：作者是专门为 agent 场景造的，自带 Egress Filtering（哪个 agent 能访问哪个 API 端点，精细控制）、Request Logging（审查所有已认证流量）、Multi-tenancy（多 agent 隔离）、Strict deny mode（unmatched_host_policy=deny，不在白名单的请求直接 403）。
部署哲学：官方明确建议 Agent Vault 部署在 agent 之外的另一台机器上——这样 agent 物理上就够不到密钥库本体，提供真正的安全边界。适合跑远程 Claude Code 会话、临时沙箱 agent、安全审计要求高的团队。
为什么值得关注：它是"零信任 + 远程 agent"场景的事实标准候选。海外很多团队已经在用它跑 secure remote coding agent——远程 Claude Code 会话代理掉 Anthropic 和 GitHub API，agent 只看到假 token。
国内对比：国内大模型厂商的 agent 平台（如各家的智能体云）大多采用"平台代管密钥"模式，但那是托管方独占的，开源可自部署的零知识代理目前空白。Agent Vault 让私有化部署的企业也能拿到同款安全模型。
适合谁：要远程跑 agent、有多 agent / 多租户、合规审计要求的团队和企业安全负责人。
161 分，是目前这个赛道声量最大的。一句话 Slogan："Store once. Inject anywhere. Agents never see the keys."
和 Agent Vault 的区别：Agent Vault 是"agent 用占位符，代理替换"；OneCLI 的姿势更直白——直接给 agent 发一个假密钥 FAKE_KEY，agent 像平常一样发 HTTP 请求，OneCLI 网关按 host + path 匹配，把 FAKE_KEY 换成 REAL_KEY，AES-256-GCM 仅在请求瞬间解密注入。agent 那边代码一行都不用改，只是请求都过网关。
架构三件套：
- Rust Gateway：高速 HTTP 网关，拦截出站请求注入密钥，agent 用 Proxy-Authorization header 鉴权；
- Web Dashboard：Next.js 面板，管 agent、管 secret、管权限；
- Secret Store：AES-256-GCM 加密存储，按 host/path 模式匹配，运行时才解密。
为什么值得关注：Rust 意味着性能能扛生产流量，配合可视化管理面板，是四款里最接近"开箱即用的企业产品"形态的开源方案。如果你要给一群 agent 统一管几十个第三方 API，OneCLI 的"一处存、处处注、面板可审计"体验最顺手。
国内对比：国内的 API 网关（如各云厂商的 APISaaS）解决的是"流量管控"，不是"给 agent 发假密钥"。OneCLI 这种"agent 专用凭据网关"是国内产品矩阵里缺的一环。
适合谁：要管一堆第三方 API、希望有图形面板、追求 Rust 性能的中型团队。
同样是"let AI agents use credentials without seeing them"的思路，但比前三款更轻、更适合作为参考实现来读源码、做二次开发。如果你不想上 Agent Vault / OneCLI 那么重的架构，想自己魔改一个最小可用的零知识层，Vultrino 是个不错的起点。
生态补充：除了这四把"专用刀"，老牌密钥基础设施也在往 agent 靠——HashiCorp Vault 已有官方 MCP server，1Password、Bitwarden、Infisical 也都上线了 MCP secret server。也就是说，这套"零知识凭据层"正在从"几个独立小工具"快速演变成所有密钥管理的标配能力。
| 工具 | 形态 | 重量 | 开源/价格 | 核心场景 | 上线/热度 |
|---|---|---|---|---|---|
| Hush | 本地 bash 脚本 | ⭐ 最轻 | MIT 免费 | 单机 Claude Code、本地 agent | 2026-06-26（今天） |
| Agent Vault | HTTP 代理 + Vault 二进制 | ⭐⭐⭐ | 开源（Infisical 付费云可选） | 远程 agent、多租户、合规 | 2026-04-22 / 156 分 |
| OneCLI | Rust 网关 + Next.js 面板 | ⭐⭐⭐⭐ | 开源 | 生产级、多 API、要面板 | 2026-03-12 / 161 分 |
| Vultrino | 轻量代理 | ⭐⭐ | 免费 | 参考实现、二次开发 | 2026-01-28 |
一句话选型：一个人用 → Hush；团队远程跑 agent 要合规 → Agent Vault；要面板、要性能、管一堆 API → OneCLI；想自己造轮子 → 读 Vultrino。
| 维度 | 你大概率还在这样做 | 别人已经在这样做 |
|---|---|---|
| 密钥交付 | export KEY=... 或粘进 prompt |
给 agent 发 FAKE_KEY，网关代换 |
| 密钥位置 | 进了 agent 上下文 / transcript | 只在 OS Keychain / 独立 Vault，永远不进上下文 |
| 泄露面 | 一段 prompt injection 就外泄 | 注入只能偷到假密钥，真实凭据物理隔离 |
| 管理粒度 | 全局一个 key 到处用 | 按 host/path 细粒度授权 + egress 过滤 |
| 审计能力 | 出事了抓瞎 | 所有已认证流量可 logging、可 deny |
| 国内认知 | 几乎为 0 | 海外已成 4+ 开源工具、HCP Vault 官方 MCP |
这张表就是你的信息差：当国内同行还在讨论"prompt 怎么写更安全"，海外已经把安全模型下沉到了凭据交付这一层，让 agent"能用但看不见"。
第一步（5 分钟，止血级）：如果你在单机用 Claude Code，今天就 clone Hush 进 skills 目录。把 export OPENAI_API_KEY 这类裸暴露，换成 hush set + hush run。一次配置，终身受益——至少密钥不会再进任何对话日志。
第二步（团队级）：如果你团队在跑远程 agent（远程 Claude Code、沙箱 agent），评估 Agent Vault：它在另一台机器上做 MITM 代理，是"远程 + 零信任"场景最稳的方案。先用一个内部小项目接 Anthropic + GitHub API 跑通，再铺开。
第三步（架构级）：如果你要做面向多 agent 的平台、或者想把"密钥管理"做成内部平台能力，直接对标 OneCLI 的架构（Rust 网关 + 面板 + host/path 匹配）。这是目前最接近产品形态的开源参考，值得把源码当设计文档读。
避坑提醒：注意 Hush 作者自己强调过——它不是防"恶意进程"的保险柜，有 shell 权限的 agent 理论上能动这个本地存储；它是"让明文不进 transcript、让 store-once-inject-everywhere 成为最容易的路"。真正要防 exfiltration，还得靠 Agent Vault / OneCLI 这种物理隔离 + egress 过滤的架构。
我观察到一个趋势信号：这个赛道两个月内冒出四款独立工具（Hush / Agent Vault / OneCLI / Vultrino），且后两款都在 HN 拿到 150+ 分；与此同时 HashiCorp、1Password、Infisical 这些密钥基础设施巨头集体上线 MCP server。当一个需求同时被草根独立项目和巨头官方认可，它就不是一阵风，而是新基建。
对中国的 agent 创业者和平台方，这里有两层机会：一是直接拿来用，把自家 agent 的安全水位拉到 2026 标线；二是产品启示——国内的大模型 agent 平台，目前几乎都还停在"平台代管密钥"的黑盒模式，一个"开源、可自部署、agent 看不见真密钥"的国产凭据代理，目前是空白市场。谁先把 Hush/OneCLI 的范式本地化、中文化、对接国内云密钥服务，谁就能吃到这波。
agent 已经上岗了，给它配的"钥匙"，是时候换把锁了。
get 密钥库）：https://github.com/royashbrook/hush本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护。 聚焦5G/6G核心网、3GPP标准、AI工具实战。知识星球「51学通信」提供深度技术答疑和行业洞察。
做了什么：
- 多源采集：Z.ai WebSearch / webReader 双双被限流（429，7/18 重置），改用 curl 直连 HN Algolia API + DuckDuckGo HTML + GitHub raw README 成功拿到真实数据
- 锁定一个全新、未被最近 3 天覆盖的垂直：给 AI Agent 的"零知识凭据层"
- 拆解 4 款真实工具，均带可点击链接、准确功能、开源/价格、上线日期与热度（Hush 今天 06-26 首发；Agent Vault 156 分；OneCLI 161 分；Vultrino）
- 输出完整文章（标题/domain 元数据 + 2000+ 字正文 + 1 个 Mermaid 图 + 信息差对比表 + 行动指南 + 5 条来源 + 品牌信息）
下一步建议（优先级）： 1. P0：人工核验 4 个 GitHub 链接与 onecli.sh 是否可访问（README 已实测，URL 应准确） 2. P1：若要本地化变现视角，可追加一篇 cost-hacks 专题——算一笔"密钥外泄事故成本 vs 自部署 OneCLI 成本"的账 3. P2：追踪 HashiCorp Vault MCP server，这块国内认知几乎为零，可单独成篇
注意事项： - web_search/web_reader MCP 本周额度已耗尽（7/18 重置），后续几轮采集需全程依赖 curl 直连方案 - Hush 作者自述"非防恶意进程的保险柜"，文中已如实标注避坑，未夸大其能力
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。