🔱 Aquaman

🔱 AIエージェント向けの唯一の独立したクレデンシャルプロキシ: bring-your-own-vault分離と最小権限リクエストポリシー。あなたのキーは、すでに保管している場所に留まり、エージェントのメモリには決して入りません。1Password、keychain、keepassxcなど、多くのツールと互換性があります。

Claude Code、OpenClaw、あるいはHermesをセットアップして、今あなたは.envファイルの中に大事なAPIキーが平文で置かれているのを眺めている。記事を読んだでしょう。エージェントがプロンプトインジェクションを受けたときに何が起きるか、あなたは知っている。私たちも分かっています。

Aquamanはこれを3層の防御で解決します:

1. プロセス分離: APIキーは別のプロキシプロセス内に存在し、egress時に注入されます。エージェントはキーではなくマーカーを保持するため、エージェント内でRCEが発生してもキーを読み取ることはできません。コーディングエージェントは、あなたが宣言したrefsのみを、一度に1つのコマンドで取得します。
2. リクエストポリシー: サービスごとのルールが、エージェントがどのエンドポイントを呼び出せるかを制御します。管理APIをブロックし、削除を防ぎ、下書きは許可するが送信は拒否する。拒否されたリクエストに本物のクレデンシャルが渡ることはありません。
3. 改ざん検知可能な監査: すべてのクレデンシャル使用はSHA-256ハッシュチェーンで記録されます。何がアクセスされたかを証明でき、事後に改ざんを検知できます。

パスを選ぶ

Aquamanは4つの連携パッケージとして提供され、1つのvault + 1つのdaemonを共有します。必要なものだけをインストールしてください:

単一のaquaman CLIが4つすべてを表面化します: vaultと監査のためのトップレベルコマンド、OpenClaw統合のためのaquaman openclaw ...、コーディングエージェント統合のためのaquaman coder ...(内部でaquaman-coderに委譲)、そしてHermes Pythonパッケージのためのaquaman hermes ...。

クイックスタート

aquaman help、aquaman doctorはあなたの味方です。

1. Vaultのみ(プロキシ + あなたのシークレットだけ)```bash

npm install -g aquaman-proxy aquaman setup # backend wizard + store keys aquaman daemon & # start the proxy aquaman credentials list # verify

プロキシは `~/.aquaman/proxy.sock`（UDS、`chmod 0o600`）で待ち受けます。任意のツールを `http://aquaman.local/<service>/<path>` に向けると、プロキシは選択した vault バックエンドからそのサービス用の認証ヘッダーを注入します。

### 2. OpenClaw Gateway```bash
openclaw plugins install aquaman-plugin           # 1. install plugin + proxy
openclaw aquaman setup                            # 2. backend + keys + plugin wire-up
openclaw                                          # 3. done - proxy starts automatically

トラブルシューティング: openclaw aquaman doctor。

npm を直接使いますか? npm install -g aquaman-proxy && aquaman openclaw setup も同じことを行います - プロキシ CLI をインストールし、キーを保存し、プラグインを ~/.openclaw/extensions/aquaman-plugin/ にインストールし、認証情報を配線します (OpenClaw ≥ 2026.6.5 では SecretRef 参照、古いバージョンでは auth-profiles.json プレースホルダー)。

aquaman openclaw setup は models.providers.<svc>.baseUrl と channels.telegram.apiRoot をプロキシのループバックリスナーに向けます。なぜなら OpenClaw のモデルトランスポートとそのチャネルはそれぞれ独自の HTTP クライアントを構築し、fetch インターセプターをバイパスするからです。Telegram 以外のチャネルはエンドポイントのオーバーライドを公開していないため、それらのトークンは保存および移行されますが、egress 時に注入されません (packages/plugin/README.md を参照)。openclaw.json のプラグイン設定の下にチャネルを追加してください。サポートされているものには Slack、Discord、Telegram、MS Teams、Matrix、LINE、Twitch、Twilio、BlueBubbles、Mattermost、Nostr、Tlon、Feishu、Google Chat、ElevenLabs、xAI、Cloudflare AI Gateway、Mistral、Hugging Face などがあります (合計 25)。

3. AI コーディングエージェント (現在は Claude Code)```bash

npm install -g aquaman-proxy aquaman-coder # 1. install daemon + adapter aquaman setup # 2. vault wizard aquaman daemon & # 3. start the proxy

aquaman coder project add my-app --path ~/code/my-app
--env ANTHROPIC_API_KEY=aquaman://anthropic/api_key
--env GITHUB_TOKEN=aquaman://github/token # 4. declare a project aquaman coder setup claude-code # 5. wire Claude Code hooks aquaman doctor # 6. verify - should show both vault + coder green

**自分の目で確かめてみてください（30秒で納得）:** Claude Code を再起動し、`~/code/my-app` 内で新しいセッションを開き、エージェントに次を実行するよう依頼してください:```
printenv | grep ANTHROPIC_API_KEY

トランスクリプトにこれが表示されます:``` ANTHROPIC_API_KEY=[REDACTED:injected-value]

⏺ ANTHROPIC_API_KEY is set and available (injected via aquaman vault).

*子*プロセスは実際のキーを見ることができました（テスト、ビルド、MCPサーバー、インポートスクリプトなど、実際にキーを必要とするものはすべて動作します）。*エージェント*、つまりマシン上でどのコードを実行するかを決定するものは、その値を決して見ることはなく、したがって会話履歴も、モデルプロバイダーのログも、後であなたのターミナルをスクリーンショットする誰も見ることはありません。

**自分のターミナルからも使えます。** 同じラッパーはエージェントなしでも動作します。対象のプロジェクトに `cd` して、コマンドの前にプレフィックスを付けるだけです：```bash
cd ~/code/
aquaman-coder exec -- python app/scripts/import.py

同じ環境変数注入、同じ stdout/stderr の秘匿化。Makefile のターゲット、シェルエイリアス、CI ランナーなど、通常 .env ファイルに手を伸ばすあらゆる場所にこれを組み込めます。

Claude Code が ~/code/my-app で Bash ツールを実行すると、aquaman のフックが updatedInput.command を介してコマンドを書き換え、aquaman-coder exec の下にラップします。そのラッパーは：

• 各 aquaman://service/key 参照をブローカー経由（UDS 上の POST /broker/resolve）で解決します。認証情報はエージェントのライフタイムではなく、1 つのコマンドのために実体化されます。
• stdout/stderr をリダクターに通し、解決された各値に対して値ベースのパターンを先頭に付加します：注入された文字列は、その形状に関係なく秘匿化されます（Atlassian トークン、Notion シークレット、内部 API キーなど、いずれも既知のプロバイダー形式に一致する必要はありません）。汎用的な形状ベースのパターン（sk-ant-、ghp_、sk_live_、AKIA…、JWT、PEM ブロック、ATATT3xF…）は、我々が注入しなかった子プロセスが表面化させるシークレットに対する多層防御として、引き続き後から実行されます。
• コマンド終了時にクリーンアップします。

Claude Code サンドボックス： デフォルトで Unix ソケットをブロックするため、aquaman coder setup claude-code は macOS 上でプロキシソケットを許可リストに追加します（sandbox.network.allowUnixSockets）。Linux と WSL2 はそのリストを無視し、唯一の選択肢は sandbox.network.allowAllUnixSockets: true で、これはサンドボックス化されたコマンドに対してすべての Unix ソケットを開放します。

4. Hermes（エージェントホスト）

Hermes は注入するトランスポートフックを持たない外部（Python）ホストであるため、分離はプロキシ側で行われます：プロキシはオプトインのトークンゲート付きループバックリスナーを公開し、Hermes は自身の環境変数を通じてそこを指し示します。```bash npm install -g aquaman-proxy # 1. install daemon aquaman setup # 2. vault wizard aquaman credentials add anthropic api_key sk-ant-... # 3. store a provider key

aquaman hermes setup # 4. enable loopback + write ~/.hermes/.env aquaman daemon & # 5. start the proxy (UDS + loopback) aquaman hermes doctor # 6. verify - listener + env + vault + Hermes

`aquaman hermes setup` はループバックリスナーを有効化し、インストールごとのトークンを生成し、aquaman 管理のブロックを `~/.hermes/.env` に書き込みます（`HERMES_HOME` を尊重）：ネイティブの `ANTHROPIC_BASE_URL`/`OPENAI_BASE_URL` に加えて、トークンと等しいプレースホルダーの api_key です。Hermes はこのトークンをプロバイダーキーとして送信し、プロキシはそれを除去して、実際の vault 認証情報を注入し、上流へ転送します。現在は LLM プロバイダー（Anthropic、OpenAI）のみです。

**オプションのセッション内シュガー** - Python プラグインは `/aquaman-status` コマンド、`aquaman_status` ツール、および Hermes 内でのセッション開始時のヘルスプローブを追加します（認証情報は保持しません）：```bash
pip install aquaman-hermes            # or: uv tool install aquaman-hermes
aquaman-hermes install                # drops the plugin into ~/.hermes/plugins/aquaman/
hermes plugins enable aquaman

プラグインはまた、GITHUB_TOKEN のようなプロジェクトシークレット用の aquaman シークレットソース (Hermes ≥ 0.18.1) を登録します。これらを Hermes の config.yaml 内の secrets.aquaman.env の下にバインドし、各 ref を aquaman broker allow aquaman://github/token で宣言します (v0.15.0 以降で必須。aquaman hermes doctor は見落としたものを一覧表示します)。上記の LLM キーとは異なり、これらの値は Hermes の env に入ります。詳細は packages/hermes/README.md を参照してください。

仕組み```

Agent / OpenClaw / Coding Agent Aquaman Proxy ┌──────────────────────┐ ┌──────────────────────┐ │ │ │ │ │ ANTHROPIC_BASE_URL │═══ UDS / HTTP ════>│ Keychain / 1Pass / │ │ = aquaman.local │ │ Vault / Encrypted │ │ │<══════════════════ │ │ │ fetch() interceptor │═══ broker:resolve │ + Policy enforced │ │ (channel APIs) │ │ + Auth injected: │ │ │ │ header / url-path │ │ No credentials. │ ~/.aquaman/ │ basic / oauth │ │ No open ports. │ proxy.sock │ │ │ No keys to read. │ (chmod 0o600) │ │ └──────────────────────┘ └──┬─────────┬─────────┘ │ │ │ ▼ │ ~/.aquaman/audit/ │ (hash-chained) ▼ api.anthropic.com api.telegram.org slack.com/api …

1. **Store**: 認証情報は、すでに運用している vault バックエンドに保存されます - 独自の vault は不要です（Keychain、1Password、HashiCorp Vault、Bitwarden、KeePassXC、systemd-creds、encrypted-file）。
2. **Policy**: プロキシは認証情報に触れる*前に*メソッド + パスのルールをチェックします。拒否されたリクエストには `403` が返り、実際の認証ヘッダーが渡ることはありません。
3. **Inject**: プロキシは認証情報を検索し、転送前に認証ヘッダーを追加します。25 の組み込みサービス、4 つの注入認証モード（header、URL-path、HTTP Basic、OAuth）があります。5 つ目の `none` は保存時専用です（プロキシはトラフィックを拒否します）。
4. **Broker (coder + Hermes secret source)**: `POST /broker/resolve` はツール呼び出しごとに認証情報を実体化し、単一コマンドの env にスコープします。これを提供するのは `aquaman daemon` のみで、しかも宣言した ref（`projects.yaml` または `aquaman broker allow`）に対してのみです。OpenClaw プラグインのプロキシがこれを提供することはありません（v0.15.0+）。
5. **Audit**: すべての認証情報の使用は SHA-256 ハッシュチェーンで記録されます。

プロキシ経路では、エージェントはローカルエンドポイントとマーカーを目にします。`aquaman-proxy-managed` プレースホルダー、またはローカルプロキシに対してのみ機能するループバックトークンです。実際のキーが渡ることはありません。coder 経路では、*子*コマンドが宣言された値を受け取り、エージェントはマスクされた出力を目にします。

## Security Model

| Layer | What it does | What it stops |
|---|---|---|
| **Process isolation** | Credentials in a separate process, reached over a Unix socket (`chmod 0o600`) or a token-gated loopback listener | Compromised agent can't read proxied keys: different address space |
| **Broker scope** | Only `aquaman daemon` hands out values, and only for refs you declared; OpenClaw-hosted proxies never do (v0.15.0+) | An agent can't pull arbitrary vault entries through the socket |
| **Service allowlisting** | `proxiedServices` controls which APIs the agent can reach | Agent can't talk to services you didn't authorize |
| **Request policies** | Method + path rules per service, enforced before credential injection | Agent can reach Anthropic but not its admin API; can draft emails but not send them |
| **Audit trail** | SHA-256 hash-chained logs of every credential use | Post-incident forensics, tamper detection, compliance evidence |
| **Per-tool-call broker (coder)** | `aquaman-coder exec` materializes creds for one command at a time | Credentials don't sprawl across the agent's shell environment |
| **Output redaction (coder)** | `aquaman-coder exec` pipes stdout/stderr through a redactor that scrubs each value it just injected verbatim - plus generic provider patterns as a fallback | Even arbitrary, shape-less credentials never reach the agent transcript |

### Transports and access control

| Path | Transport | Access control |
|---|---|---|
| Coding agents, any client that can dial a socket | Unix socket `~/.aquaman/proxy.sock` | File permissions (`0600`): only processes running as you |
| Hermes (v0.13.0+), OpenClaw model and Telegram traffic (v0.15.0+) | Loopback TCP `127.0.0.1:<port>` | Per-install token, constant-time check, loopback bind |

Hermes と OpenClaw はそれぞれ独自の HTTP クライアントを構築し、ソケットに接続できないため、リスナーを使用します。それ以外はすべてソケットを使用します。

トークンはローカルプロキシに到達するためのケイパビリティであり、認証情報ではありません。インストールごとに生成され、`~/.aquaman/config.yaml`（`0600`）に保存され、ホストによってプロバイダーの api key として送信されます。プロキシはそれをチェックし、取り除き、実際のキーを注入します。Telegram には認証ヘッダーがないため、そこではトークンは代わりに `/bot<TOKEN>` パスセグメントに乗ります。

トレードオフ: ローカルプロセスは誰でもループバックポートに到達できます。他のユーザーも含まれますが、ソケットの `0600` はそれらを締め出します。そこではトークンがゲートとなるため、`aquaman hermes setup` または `aquaman openclaw setup` が有効にするまでリスナーはオフのままです。

### Channel credentials on OpenClaw 2026.7.33+

| Channel | Egress through the proxy |
|---|---|
| Telegram | Yes, since v0.15.0 |
| Everything else | No. Vault storage and migration only |

各チャネルはリクエストごとに独自の HTTP クライアントを構築するため、プラグインの `fetch` インターセプターはこれらのバージョンではチャネルトラフィックを認識しなくなります。チャネルをルーティングするにはホストからのエンドポイントオーバーライドが必要で、それを持つのは Telegram だけです。`aquaman openclaw setup` は `channels.telegram.apiRoot` をプロキシに向け、ボットトークンをループバックトークンに置き換えます。

それ以外については、トークンは vault に残りますが OpenClaw が直接使用するため、プロキシは経路に入らず、それらの呼び出しは監査されません。`aquaman openclaw doctor` は、設定されたチャネルのどれがどちらのグループに属するかを一覧表示します。モデルプロバイダーは影響を受けません。

**What same-user isolation can't do.** ソケットの `0o600` は他のユーザーを締め出しますが、あなたとして実行されている他のプロセスは締め出しません。そのようなプロセスは、実行中はプロキシを通じてリクエストを送信でき（リクエストポリシーによって制限され、監査ログに記録されます）、また宣言した ref を取得できます。それが宣言するということの意味です。プロキシが注入するキーを読み取ることはできません。より強固な境界が必要な場合は、エージェントを別の OS ユーザーとして、またはサンドボックス内で実行してください。

詳細なモデル - 統合ごとの詳細（HTTP インターセプターのスコープ、認証プロファイル、スキャナーの検出結果、ClawScan パブリッシャーノート）- は [`packages/plugin/README.md`](https://github.com/tech4242/aquaman/blob/main/packages/plugin/README.md) と [`packages/coder/README.md`](https://github.com/tech4242/aquaman/blob/main/packages/coder/README.md) にあります。

### Compliance posture

Aquaman は `test/compliance/` 以下に実行可能な適合性テストを同梱しており、以下に対応付けられています:

- **MITRE ATLAS** v5.4.0: テクニック AML.T0055、T0012、T0062、T0090、T0098（`test/compliance/atlas/`）
- **NIST SP 800-53 Rev 5**: IA-5、AC-3、AC-6、AU-2/9/10、SC-12/28、SI-10（`test/compliance/nist/`）

さらに、CISA/Five-Eyes「Careful Adoption of Agentic AI Services」（2026年4月）、CSA MAESTRO、および OWASP Top 10 for Agentic Applications のための整合性ナラティブも含まれます。テストは `npm test` の一部として実行されます。マッピングについては [`docs/compliance/`](https://github.com/tech4242/aquaman/blob/main/docs/compliance) を参照してください。


## Request Policies

OAuth スコープは「メールを下書きする」と「メールを送信する」を区別できません。どちらも `gmail.send` です。リクエストポリシーはそのギャップを埋めます。```yaml
# ~/.aquaman/config.yaml
policy:
  anthropic:
    defaultAction: allow
    rules:
      - method: "*"
        path: "/v1/organizations/**"
        action: deny          # block admin/billing API
  openai:
    defaultAction: allow
    rules:
      - method: "*"
        path: "/v1/organization/**"
        action: deny
      - method: DELETE
        path: "/v1/**"
        action: deny          # no deletions
  slack:
    defaultAction: allow
    rules:
      - method: "*"
        path: "/api/admin.*"
        action: deny          # Slack Web API admin methods
  gmail:
    defaultAction: allow
    rules:
      - method: POST
        path: "/gmail/v1/users/*/messages/send"
        action: deny          # drafts ok, sending blocked

• パスはサービスプレフィックス以降の上流 API のフルパスです: Slack の Web API は /api/<method>、Gmail は /gmail/v1/... です。v0.15.0 より前のプリセットは /admin.* や /v1/users/*/messages/send を使用しており、実際のトラフィックには一致しませんでした。aquaman doctor は、それらがまだ設定に残っている場合に警告します。
• ポリシーなし = すべて許可（後方互換）
• 最初の一致が優先: ルールは上から下へ評価され、一致しないリクエストは defaultAction にフォールスルーします
• 認証前に拒否: ブロックされたリクエストは実際の認証情報を取得しません
• パスグロブ: * はセグメント内で一致し、** は 0 個以上のセグメントに一致します
• aquaman setup は保存されたサービス（anthropic、openai、slack、gmail）に安全なデフォルトを適用します。
• aquaman policy list / aquaman policy test <svc> <method> <path> で検査 / ドライランできます。

認証情報バックエンド

自分の vault を持ち込めます - aquaman には独自のストアはありません。すでに運用しているバックエンドを選んでください。シークレットはそこに留まり、プロキシはその場で読み取ります。

aquaman setup は適切なデフォルトを自動検出します（macOS → keychain、Linux → libsecret があれば keychain、なければ systemd ≥ 256 なら systemd-creds、それ以外は encrypted-file）。

encrypted-file は、ネイティブキーリングのないヘッドレス Linux/CI 環境向けの最後の手段です。Linux でのセキュリティを高めるには、libsecret-1-dev（GNOME Keyring）をインストールするか、systemd-creds（TPM2 バインディング）を使用するか、1Password/Vault を使用してください。

認証情報キャッシュ（v0.13.1+）

1password（デスクトップアプリモードでは読み取りごとに生体認証プロンプト）、bitwarden（CLI 起動に約 1～2 秒）、vault（HTTP ラウンドトリップ）など、アクセスごとにコストがかかるバックエンドは、デフォルトで デーモンのメモリ内 に 15 分間キャッシュされます。これにより、ビジーなエージェントセッションでも、リクエストごとではなくウィンドウごとに 1 回 vault をアンロックするだけで済みます。他のバックエンドはすでに高速か内部でキャッシュするため、デフォルトではキャッシュはオフです。~/.aquaman/config.yaml の credentials.cacheTtlSeconds（または AQUAMAN_CACHE_TTL）で調整できます。0 で無効化されます。

正直なトレードオフ: アクセスごとの生体認証プロンプトはユーザープレゼンスの確認であり、キャッシュは TTL ウィンドウの間、アクセスごとのプレゼンスを排除します。無人エージェントではそのプロンプトに応答が返らないため、vault は放棄され平文の .env に置き換えられ、これは明らかに悪化します。キャッシュは分離境界を移動しません: 値はプロキシプロセス内にのみ存在し（そこではすでにすべてのリクエストで通過しています）、ディスクに書き込まれることはなく、aquaman credentials add でローテーションすると即座に無効化されます。書き込みは常にあなたの vault に送られます。test/compliance/cache-residency.test.ts で適合性テスト済みです。1Password でプロンプトをゼロにするには、aquaman vault にスコープされたサービスアカウントを使用してください。aquaman doctor がそこへ案内します。

ライセンス

MIT - LICENSE を参照してください。