aquaman v0.15.0
🔱 البروكسي الوحيد المستقل للاعتمادات لوكلاء الذكاء الاصطناعي: عزل بخزاناتك الخاصة وسياسات طلب بأقل الامتيازات. تبقى مفاتيحك حيث تخزنها بالفعل، ولا تصل أبدًا إلى ذاكرة الوكيل. متوافق مع 1Password و keychain و keepassxc والعديد غيرها.
🔱 Aquaman
🔱 الوكيل الوحيد المستقل لبيانات الاعتماد لوكلاء الذكاء الاصطناعي: عزل الخزنة الخاصة بك وسياسات الطلبات بأقل صلاحيات. مفاتيحك تبقى حيث تحتفظ بها بالفعل، ولا تدخل أبدًا في ذاكرة الوكيل. متوافق مع 1Password وkeychain وkeepassxc وغيرها الكثير.
تقوم بإعداد Claude Code أو Codex أو OpenClaw أو Hermes أو Docker Sandboxes، والآن تجد نفسك تحدّق في ملفات .env التي تحتوي على مفاتيح API الثمينة مكشوفة كنص صريح. لقد قرأت المقالات. تعرف ما يحدث عندما يتعرض الوكيل لهجوم حقن الأوامر. نحن نتفهم ذلك.
يعالج Aquaman هذه المشكلة بثلاث طبقات من الحماية:
- عزل العمليات: مفاتيح API تعيش في عملية وكيل منفصلة تحقنها عند الخروج. يحمل الوكيل علامة مرجعية، وليس مفتاحًا أبدًا، لذا حتى تنفيذ التعليمات عن بُعد (RCE) في الوكيل لا يمكنه قراءة أي مفتاح. وكلاء البرمجة يحصلون فقط على المراجع التي تعلنها، أمرًا واحدًا في كل مرة.
- سياسات الطلبات: قواعد لكل خدمة تتحكم في أي نقاط نهاية يمكن للوكيل استدعاؤها. احجب واجهات الإدارة، وامنع الحذف، واسمح بالمسودات لكن ارفض الإرسال. الطلبات المرفوضة لا تحصل أبدًا على بيانات اعتماد حقيقية.
- تدقيق مقاوم للتلاعب: كل استخدام لبيانات الاعتماد يُسجَّل بسلاسل تجزئة SHA-256. يمكنك إثبات ما تم الوصول إليه واكتشاف أي تلاعب بعد وقوعه.
اختر مسارك
يُوزَّع Aquaman كأربع حزم متناسقة، تشترك في خزنة واحدة + خادم خفي واحد. ثبّت فقط ما تحتاجه:
| الحزمة | ما تفعله | متى تُثبَّت |
|---|---|---|
aquaman-proxy | النواة: الخزنة، الخادم الخفي، التدقيق، السياسة، واجهة الأوامر. الجزء الذي يحتاجه الجميع. | دائمًا. |
aquaman-plugin | محوّل OpenClaw Gateway. يشغّل الوكيل عند بدء Gateway؛ ويوجّه حركة النموذج وTelegram عبره؛ و25 خدمة مدمجة عبر 5 أنماط مصادقة. | إذا كنت تشغّل OpenClaw Gateway. متاح أيضًا على https://clawhub.ai/plugins/aquaman-plugin |
aquaman-coder | محوّل وكيل البرمجة بالذكاء الاصطناعي. مراجع aquaman://service/key المرتبطة بالمشروع تُحلّ لكل استدعاء لأداة Bash. | إذا كنت تستخدم Claude Code أو Codex. |
aquaman-hermes | إضافة مضيف وكيل Hermes (Python، على PyPI). توجّه Hermes إلى مستمع loopback اختياري محمي برمز عبر ANTHROPIC_BASE_URL/OPENAI_BASE_URL الأصليين؛ وتضيف أمر /aquaman-status داخل الجلسة، وأداة، وفحص صحة. العزل من جهة الوكيل؛ الإضافة لا تحمل أي بيانات اعتماد. | إذا كنت تشغّل مضيف وكيل Hermes. pip install aquaman-hermes |
| Docker Sandboxes | ليست حزمة: مسار منفصل يحتاج فقط إلى aquaman-proxy. وكيل Docker الخاص يحقن الأسرار؛ ويوفّرها aquaman get من خزنتك، مع قائمة السماح وسجل التدقيق. | إذا كنت تشغّل الوكلاء في Docker Sandboxes. راجع البدء السريع 5. |
واجهة aquaman CLI واحدة تُظهر الأربعة جميعًا: أوامر عليا للخزنة والتدقيق، وaquaman openclaw ... لتكامل OpenClaw، وaquaman coder ... لتكامل وكيل البرمجة (تفوّض إلى aquaman-coder في الخلفية) وكذلك aquaman hermes ... لحزمة Hermes بلغة Python.
البدء السريع
aquaman help وaquaman doctor صديقانك.
1. الخزنة فقط (الوكيل + أسرارك فقط)
npm install -g aquaman-proxy
aquaman setup # backend wizard + store keys
aquaman daemon & # start the proxy
aquaman credentials list # verify
يستمع الوكيل على ~/.aquaman/proxy.sock (UDS، chmod 0o600). وجّه أي أداة إلى http://aquaman.local/<service>/<path> وسيقوم الوكيل بحقن ترويسات المصادقة الخاصة بتلك الخدمة من الواجهة الخلفية للخزنة التي اخترتها.
2. OpenClaw Gateway
openclaw plugins install aquaman-plugin # 1. install plugin + proxy
openclaw aquaman setup # 2. backend + keys + plugin wire-up
openclaw # 3. done - proxy starts automatically
استكشاف الأخطاء وإصلاحها: openclaw aquaman doctor.
هل تستخدم npm مباشرة؟ npm install -g aquaman-proxy && aquaman openclaw setup يفعل الشيء نفسه - يثبّت واجهة سطر أوامر الوكيل (proxy CLI)، ويخزّن مفاتيحك، ويثبّت الإضافة (plugin) في ~/.openclaw/extensions/aquaman-plugin/، ويربط بيانات الاعتماد (مراجع SecretRef على OpenClaw ≥ 2026.6.5، وعنصر نائب auth-profiles.json على الإصدارات الأقدم).
يوجّه aquaman openclaw setup كلاً من models.providers.<svc>.baseUrl وchannels.telegram.apiRoot إلى مستمع الاسترجاع (loopback listener) الخاص بالوكيل، لأن ناقل النماذج في OpenClaw وقنواته يبني كل منهما عميل HTTP خاصاً به ويتجاوز معترض fetch. القنوات غير Telegram لا تكشف عن أي تجاوز لنقطة النهاية، لذا تُخزَّن رموزها وتُهاجَر ولكن لا تُحقَن عند الخروج (انظر packages/plugin/README.md). أضف القنوات ضمن إعدادات الإضافة في openclaw.json؛ تشمل المدعومة Slack وDiscord وTelegram وMS Teams وMatrix وLINE وTwitch وTwilio وBlueBubbles وMattermost وNostr وTlon وFeishu وGoogle Chat وElevenLabs وxAI وCloudflare AI Gateway وMistral وHugging Face وغيرها (25 إجمالاً).
3. وكلاء البرمجة بالذكاء الاصطناعي (Claude Code، Codex)
npm install -g aquaman-proxy aquaman-coder # 1. install daemon + adapter
aquaman setup # 2. vault wizard
aquaman daemon & # 3. start the proxy
aquaman coder project add my-app --path ~/code/my-app \
--env ANTHROPIC_API_KEY=aquaman://anthropic/api_key \
--env GITHUB_TOKEN=aquaman://github/token # 4. declare a project
aquaman coder setup claude-code # 5. wire Claude Code hooks
# (or: aquaman coder setup codex)
aquaman doctor # 6. verify - should show both vault + coder green
جرّبه بنفسك (لحظة الإدراك في 30 ثانية): أعد تشغيل Claude Code (أو Codex)، وافتح جلسة جديدة داخل ~/code/my-app، واطلب من الوكيل تشغيل:
printenv | grep ANTHROPIC_API_KEY
سترى هذا في النص:
ANTHROPIC_API_KEY=[REDACTED:injected-value]
⏺ ANTHROPIC_API_KEY is set and available (injected via aquaman vault).
عملية الطفل رأت المفتاح الحقيقي (اختباراتك، عمليات البناء، خوادم MCP، سكربتات الاستيراد - أي شيء يحتاجه فعلاً يعمل). أما الوكيل - الشيء الذي يقرر أي كود يُشغَّل على جهازك - فلا يرى القيمة أبداً، وبالتالي لا يراها سجل المحادثة، ولا سجلات مزوّد النموذج، ولا أي شخص يلتقط لاحقاً لقطة شاشة لطرفيتك.
استخدمه من طرفيتك الخاصة أيضاً. نفس الغلاف يعمل بدون الوكيل. ما عليك سوى cd إلى مشروع مغطّى وسبق أمرك:
cd ~/code/
aquaman-coder exec -- python app/scripts/import.py
نفس حقن env، ونفس التنقيح على stdout/stderr. أدرجه في أهداف Makefile، أو أسماء shell المستعارة، أو مشغّلات CI - في أي مكان كنت ستلجأ فيه إلى ملف .env بدلاً من ذلك.
عندما يشغّل Claude Code أو Codex أمر shell في ~/code/my-app، يعيد hook الخاص بـ aquaman كتابة الأمر عبر updatedInput.command لتغليفه تحت aquaman-coder exec. ذلك الغلاف: