我们把SSH密钥整串交给了智能体：凭证代理的空白

问题是什么

Hacker News的Show HN上出现了一个叫Ghbrk的工具,戳中了要害:一个让AI智能体不触碰SSH密钥和API令牌也能执行git和gh的代理。工具本身不是重点,它暴露的空白才是。今天跑编码智能体的团队,大多直接把一个能看到家目录SSH密钥、环境变量令牌、全权限PAT的shell交给智能体。智能体被恶意网页的提示注入骗一次,调试时把令牌打进日志一次,密钥就流走了。对人类员工,最小权限、短时令牌、审计日志早是标配;对智能体这个新”员工”,却是入职第一天就把整串万能钥匙交出去,泄露了连是哪次调用漏的都查不到。

为什么是现在

编码智能体已经走出演示,进入每天提交、每天部署的阶段。一个智能体开始索要一个人份的凭证,而安全团队的装备还停在人类账号的标准上。密钥管理器只负责存钥匙,不看”握着钥匙的进程到底在执行什么”。Ghbrk这样的个人工具能冲上首页,本身就是信号:个人的权宜之计正要升格为标准基础设施层,和容器时代早期编排工具走过的窗口一模一样。放到中国市场,推力还多一层:国内团队用通义灵码、DeepSeek这类模型驱动的编码智能体的密度不低,而企业上线要过等保合规和私有化部署审查,“智能体能读全部密钥”的架构在安全评审那里根本过不去。能从第一天就拿出权限隔离和审计日志的方案,就是过审的通行证。

怎么构建

给智能体看的不是密钥,而是代理的套接字。智能体请求”向这个仓库push”,代理先评估策略，仓库范围、分支、命令白名单、频率限制，通过的请求才从保险库取出短时凭证代为执行,只把结果返回去。密钥一个字节都不进智能体的上下文。force push、访问生产密钥这类敏感操作升级到即时通讯审批,每次调用都落审计日志。

flowchart LR
  A[AI智能体] -->|命令请求| B[凭证代理]
  B -->|策略评估| P[策略引擎与审计日志]
  B -->|借出短时密钥| V[凭证保险库]
  B -->|代为执行| G[git、gh、API]

入口收窄。先做针对某一个主流编码智能体的即插即用包装,一行命令装完;再做智能体框架集成;最后接企业IAM和已有保险库(HashiCorp Vault、云KMS),并支持私有化部署，这在国内企业市场不是加分项,是门票。收费按席位订阅,审计与合规功能放进高阶套餐。

成功条件

第一,零摩擦。安装超过一行,或者智能体明显变慢,开发者就会把钥匙塞回去。第二,默认策略的分寸。既安全又不挡住真实工作;挡工作的工具周五就会被关掉。第三,抢下标准位。谁被嵌进智能体框架和CI生态,让”智能体的凭证走代理”变成惯例而不是产品,谁就拿走这个市场。