把AI Agent接进密码库前必读：keypaste威胁模型与信任边界全面拆解

【免费下载链接】keypasteA KeePass-compatible password and secrets manager for people who work with AI agents.项目地址https://gitcode.com/gh_mirrors/ke/keypaste点击查看免费下载keypaste 是一款 KeePass 兼容的密码与密钥管理工具它把登录凭证和项目环境变量存在本地 KDBX 密码库中并只在人类批准之后才把密钥交给 AI Agent。项目自带的 THREATS.md 文档把从提示词注入到审计日志篡改的 43 个攻击路径逐条拆解是普通用户把 AI Agent 接进密码库前最值得通读的一份威胁模型。本文带你快速理解它的信任边界并给出可落地的安全使用建议。为什么必须先读威胁模型让 AI Agent 直接读取.env文件是许多人的第一反应——密钥随即进入聊天记录的文本。而 keypaste 的思路相反️密钥不出本地一切存放在一个 KDBX 4 加密文件中KeePassXC 可以打开同一个文件没有账号、没有云服务人在环上Human in the loopAgent 每请求一个字段都要经过你的 Deny / Allow once / Allow for 1 hour 决策或你事先确认过的 Automatic 设置全程留痕每次调用无论批准还是拒绝都会追加到哈希链审计日志中。问题在于Agent 读取的上下文网页、代码、issue可能是攻击者写给你的也就是说模型本身就是不可信的一方。keypaste 官方文档对此的态度非常诚实——它在 THREATS.md 中逐条列出了已缓解和仍然存在的差距。理解这些差距比任何营销文案都重要。全景一个桥、一个主人、一个人keypaste 的 Agent 通道keypaste mcp由 MCP 客户端启动它不持有密码库只负责验证请求并把合格请求转发给主人——桌面应用或你自己在终端启动的keypaste approve。只有主人握着已解锁的库并在回复前把每次请求写进自己的审计日志。你的终端 你的 MCP 客户端 │ │ keypaste approve ◄─── 本地命名管道 ─── keypaste mcp • 持有已解锁的密码库 • 校验请求、拒绝越权 • 向你询问决策 • 只返回被批准的单个字段 • 写入审计日志 • 返回结果这个架构有三个关键安全性质Agent 永远无法触发主密码输入框——密码只在你自己打开的终端里输入杜绝了另一个本地程序伪造密码框的钓鱼路径一个密码库只有一个主人桌面应用与keypaste approve不能同时持有同一个库T-29杜绝两个快照、两条锁边界锁 撤回任何一次锁定都会撤走在途请求、清零所有授权。审批流程长这样真实演示动画约 60 秒走完全程注意提示里那句That sentence was written by the agent, not by keypaste. Treat it as a claim.——Agent 给出的理由永远是它的声明不是事实。信任边界一览谁可信谁不可信这是 THREATS.md 信任边界表 的简化版是整个威胁模型的骨架参与方信任级别边界说明键盘前的人类✅ 可信所有放行的最终授权者keypaste CLI 与桥接代码✅ 可信开源法律 3.8 要求可审计密码库文件 静态可信KDBX4 保证完整性与机密性但条目文本本身不可信T-1MCP 客户端⚠️ 半信任、未认证自己声称名字和版本无人验证T-3AI 模型❌ 不可信可能从攻击者写的上下文中拼出请求条目名 / 组路径 / reason 文本❌ 不可信数据不能向 keypaste 下达指令T-1、T-2库内 Agent 设置 可信授权只有人确认后才写入放宽项能写库的人也能改它T-15clients.toml 只能收窄可以拿走权限永远不会增加T-36一句话总结模型说什么都不可信程序名可以随便填唯一可信的是你和加密库本身。核心威胁拆解7 个你必须知道的设计取舍1️⃣ 提示词注入条目名可以看起来像指令T-1 / T-2任何有库写权限的人都可以把ignore previous instructions…写进条目标题、组路径或自定义字段名——共享库、KeePassXC 里随手一编辑就够。keypaste 的缓解展示前统一做显示净化EntryNameSanitizer控制字符、双向控制符、零宽字符、模板定界符全部替换成空格igNULnore这类拆分指令无法拼回原样列表结果带 BEGIN/END 数据横幅明确告诉模型这是数据不是指令协议层限制单帧 64 KiB装不下的整条丢弃并声明不完整而不是静默截断。但官方坦承一条无法缓解的残余风险净化后的自然语言指令依然可读模型可能照做。keypaste 自己从不执行条目文本——能否拿到密钥仍然由曝光范围、Agent 设置和审批三关共同把关。Agent 请求时附带的自由文本reason同理限 2000 字符、展示截到 400 字符、去掉换行和双向控制符且审批窗口布局完全固定——按钮位置、默认键、倒计时都无法被 reason 重绘焦点永远落在 Deny 上。有专门的测试AReasonCannotRedrawThePrompt守着这一点。2️⃣ 未认证客户端与混淆代理T-3 / T-14MCP 客户端自己报上我叫 claude-code——没有任何认证。同一台机器上任何进程都能以这个名字启动桥接甚至用另一个 Agent 的--client-label去继承它的设置。这就是信任边界里最重要的一句话Agent 的设置只约束以该标签启动的桥接而标签是启动者自己选的。同用户进程的攻击在本模型中被明确划到范围外见后文Automatic 模式的真正价值是把每次按键确认换成人预先确认过的、有小时限额的、全程记录的静默放行——并且每一次 Automatic 放行都以automatic身份记入日志绝不冒充人工批准T-16。3️⃣ 过度曝光Agent 能看到什么T-4条目名本身就泄露信息——它可能暴露你的银行、雇主和恢复账号。因此曝光默认收窄到tag:env:*只看被打上项目标签的条目里长得像环境变量的字段从不带出密码、用户名、URL 和备注list_entry_names没有任何参数Agent 无法自行扩大视野或翻页它只能请求人批准标签选择器按项目成员关系匹配畸形标签什么都够不到env/dev下的../../prod/ROOT_TOKEN无法伪装成env/prod组的成员。宽曝光 Automatic 会静默放行其覆盖的一切——官方文档明确写着这二者组合的后果把决策权留给你。4️⃣ 审批疲劳点Yes只为让它闭嘴T-11恶意的重试客户端可以用凭证请求耗尽你的注意力。对策是一套组合拳并发请求立即返回BUSY不排队拒绝后该字段冷却 60 秒换连接、换名字、换变量数都无效45 秒不回答 拒绝桥接挂断则请求直接撤回桌面端的允许按钮在窗口出现 1 秒后才生效防止误点穿透到底层窗口Automatic 可设每小时上限和截止时间触顶后退回人工询问而不是拒绝。5️⃣ 授权缓存复用为 A 目的批准的被拿去干 BT-12如果你选了 Allow for 1 hour同一连接在 TTL 内再次请求同一条目同一字段时不再询问。官方立场很清醒复用时不会比较两次理由的语义这种启发式会被绕过也能被用来逼你频繁弹窗。能做的只有——授权按连接隔离、重启即失效、保护环境永不缓存、缩短--max-ttl即可压缩复用窗口。审计日志会记下每次复用的理由哈希keypaste log能标出理由变了的记录。6️⃣ 审计日志唯一能证明人参与过的证据T-5 / T-16~/.keypaste/audit.jsonl以追加模式打开每条记录携带上一条的哈希SHA-256 哈希链。改一条哈希断删一条下一条链断插入外来记录同样断链。keypaste log verify按原始字节校验AuditChainTests用真实文件覆盖了改、删、插、截断等全部路径。但官方措辞是tamper-evident篡改可证不是 tamper-proof防篡改链没有秘密密钥删除链尾留下的文件内部依然自洽。所以--expect hash支持你把锚点哈希存到攻击者改不到的地方——这是唯一能发现尾部截断的办法keypaste 自己从不替你存锚点。日志写不进去时行为是拒绝放行而不是跳过记录没有审计行的访问不存在T-6PRODUCT 法律 3.3 / 3.7。7️⃣ 本地数据与锁的真实含义T-18 / T-19 / T-20 / T-23内存主密码用可清零缓冲派生密钥用完即擦但 GC 会搬家、swap 会留痕、调试器随便看——官方直言不承诺内存机密性剪贴板keypaste get复制的值 20 秒后自动清除前提是没被改过并在 Windows/macOS/KDE 上请求机密标记——但第三方管理器可以无视崩溃和断电留不住它锁屏桌面端默认 5 分钟空闲锁定锁定时销毁库、清空屏幕并清除已复制的密钥Agent 请求绝不计为活动。锁保护的是无人值守的界面擦不掉已读入内存的副本也追不回已交付给客户端的值被盗的库文件KDBX4 Argon2 是你的全部防线离线爆破没有任何限速和审计——主密码弱什么都白搭。它不保护什么范围外的诚实声明威胁模型最值钱的部分是Out of scope一节。keypaste 明确声明以下攻击不在防护范围内理由而非沉默️同用户进程以你身份运行的进程能读内存、键入、剪贴板并与管道对话——操作系统层面的失陷超出工具能力模型行为本身keypaste 管住自己的授权与审计路径但管不住客户端拿到密钥之后把它写进 transcript、发给模型提供商☁️尚不存在的功能云端同步库、团队项目——官方写明在它们存在之前不做任何安全承诺。这份拒绝承诺的坦诚正是它值得信任的原因。安全使用建议落地清单结合 docs/safe-agents.md 与 docs/approvals.md给普通用户 6 条建议prod 永不 Automatic把生产环境打标签为受保护环境如env:billing:prod——受保护环境的集合每次都被真人询问任何模式都无法静默放行给 Automatic 加上限--per-hour小时限额 截止时间把静默放行变成有预算的静默放行缩短缓存窗口不想被授权复用消耗就把--max-ttl调小默认 1 小时隔离 Agent 的写权限Agent 的 shell 以你的身份运行它能改自己的 MCP 配置、换掉 PATH 里的keypaste。用 Claude Code / Codex / Cursor 的沙箱把~/.keypaste、库文件和keypaste可执行文件都列为不可写详见 safe-agents 指南别让库躺在 Agent 的工作目录里在哪个目录启动 Agent它就能写哪个目录——永远从项目目录启动把库和KEYPASTE_HOME放在外面定期验链keypaste log verify并把锚点哈希用--expect记在别处。如何验证这份信任每条威胁项都标注了证据对应的测试文件如SecretHygieneTests用真实库、真实桥接和植入的哨兵值验证只有被请求的字段离开与端到端脚本如 scripts/verify-approval-e2e.sh下载的二进制带 SHA-256 校验和与 Sigstore 构建证明v0.3.0起SECURITY.md 给出了完整的验证步骤与校验和能证明什么、不能证明什么漏洞走 SECURITY.md 中的私邮通道72 小时内确认协调披露最长 90 天。总结keypaste 的威胁模型可以浓缩成四句话模型不可信——它说什么都按数据/声明处理净化展示永不执行客户端未认证——名字随便填授权只认你确认过的设置和你按下的 Deny/Allow人在环上是硬约束——没有审计记录就不放行锁定即撤回主密码框永远只出现在你自己的终端边界之外不撒谎——同用户进程、内存残留、模型后续行为全部白纸黑字写在范围外。把它当作给 AI Agent 用的密码管家来用之前先读一遍 THREATS.md 原文——那 43 条威胁项里每一条的残余风险都比它的缓解措施更值得记住。赞分享【免费下载链接】keypasteA KeePass-compatible password and secrets manager for people who work with AI agents.项目地址https://gitcode.com/gh_mirrors/ke/keypaste点击查看免费下载相关推荐Agent Console威胁模型解读资产、信任边界与残余风险安全评审前必读的完整指南Agent Console威胁模型解读资产、信任边界与残余风险安全评审前必读的完整指南 如果你正在对 Agent Console ——一款本地优先locadeepagents 威胁模型精读理解 SDK 的信任边界、数据流与九大威胁deepagents 威胁模型精读理解 SDK 的信任边界、数据流与九大威胁 deepagents 是构建在 LangGraph / LangChain 之上人工智能AI AgentAgent 框架工具调用代码智能体把网站交给AI之前必须知道Novamira安全边界、威胁模型与最佳实践把网站交给AI之前必须知道Novamira安全边界、威胁模型与最佳实践 Novamira 是一个开源 WordPress 插件兼 MCP server它让上一篇从半句旋律到完整 LRC163MusicLyrics 跨平台歌词提取实用教程下一篇tchMaterial-parser 电子课本下载3 步把教材存成本地 PDF创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考