これは負荷に耐える主張であり、現在のエージェント侵害、プロンプトインジェクション、ログの窃取、スキルの外部流出に対して防御可能です。
詳細については [docs/THREAT-MODEL.md](https://github.com/rohansx/wardn/blob/HEAD/docs/THREAT-MODEL.md) をご覧ください。カバーされている範囲とされていない範囲の正直な内訳が書かれています。より強力な「ホストが侵害されても何も漏洩しない」という主張が達成可能になるティアも含まれています。

保管庫自体（保存時に暗号化、パスフレーズ由来の鍵）は実際のコンポーネントであり、ファイアウォールを単一のマシンで実行できる理由です。今後の [docs/HOSTED-TIER.md](https://github.com/rohansx/wardn/blob/HEAD/docs/HOSTED-TIER.md) ティアでは、さらにプロキシを機密コンピューティングエンクレーブでラップするため、完全に侵害されたVPSでも鍵を読み取ることはできません。

[![Crates.io](https://img.shields.io/crates/v/wardn.svg)](https://crates.io/crates/wardn)
[![License](https://img.shields.io/crates/l/wardn.svg)](LICENSE)

## 問題点

現在のすべてのAIエージェントフレームワークは、APIキーを環境変数や `.env` ファイルに保存しています。侵害されたエージェント、悪意のあるスキル、コモディティスティーラー、またはLLMログから `Authorization: Bearer sk-...` を外部流出させるプロンプトインジェクションによって、あなたの認証情報が完全に取得されます。```
~/.env              → OPENAI_KEY=sk-proj-real-key      # plaintext, readable by anyone
agent context       → "Use OPENAI_KEY=sk-proj-real-key" # leaked into LLM context window
agent logs          → Authorization: Bearer sk-proj-... # sitting in log files

## アーキテクチャ```mermaid
flowchart TB
    subgraph Agent["AI Agent Process"]
        A1["Agent Code"]
        A2["ENV: OPENAI_KEY=wdn_placeholder_a1b2..."]
    end

    subgraph Wardn["wardn daemon · localhost:7777"]
        direction TB
        P["HTTP Proxy"]
        MCP["MCP Server\n(stdio)"]

        subgraph Pipeline["Request Pipeline"]
            direction LR
            S1["Identify\nAgent"] --> S2["Resolve\nPlaceholder"] --> S3["Check\nAuth"] --> S4["Rate\nLimit"] --> S5["Inject\nReal Key"]
        end

        subgraph ResponsePipeline["Response Pipeline"]
            direction RL
            R1["Strip Real\nKeys"] --> R2["Replace with\nPlaceholders"]
        end

        subgraph Vault["Encrypted Vault"]
            V1["AES-256-GCM"]
            V2["Argon2id KDF"]
            V3["Placeholder Map\nper agent × credential"]
        end
    end

    subgraph External["External APIs"]
        E1["api.openai.com"]
        E2["api.anthropic.com"]
        E3["..."]
    end

    A1 -- "placeholder token\nin headers/body" --> P
    A1 -. "MCP: get_credential_ref\nlist_credentials\ncheck_rate_limit" .-> MCP
    MCP -. "placeholder token\n(never real keys)" .-> A1
    P --> Pipeline
    Pipeline --> External
    External --> ResponsePipeline
    ResponsePipeline -- "response with\nplaceholders only" --> A1
    Pipeline <--> Vault
    ResponsePipeline <--> Vault

    style Agent fill:#1a1a2e,stroke:#e94560,color:#fff
    style Wardn fill:#0f3460,stroke:#16213e,color:#fff
    style Pipeline fill:#16213e,stroke:#e94560,color:#fff
    style ResponsePipeline fill:#16213e,stroke:#e94560,color:#fff
    style Vault fill:#1a1a2e,stroke:#00d2ff,color:#fff
    style External fill:#0a0a0a,stroke:#533483,color:#fff

## Demo

<p align="center">
  <img src="https://assets.kitploit.com/production/public/readmes/12823/1fa6109ffd855ec98c173c5edd2d7ee77f6b0c918a3cdecb1ea5fbfe8326161d.gif" alt="wardn デモ" width="800">
</p>

## 信頼レベル（正直に）

| 階層 | 場所 | 保証内容 |
|---|---|---|
| **セルフホスト（現在）** | あなたのラップトップ、VPS、CI | 保存時暗号化されたボールト、エージェントに対するファイアウォールの主張。ホスト上のrootからの防御は**行いません**。 |
| **ホステッド（近日対応予定）** | wardn管理またはBYOクラウド | 機密コンピューティングエンクレーブ（Nitro / SEV-SNP）+ リモートアテステーション + プロキシへの暗号化フロー。本当の「host compromise leaks nothing」という主張。 |

セルフホスト階層は現在の主要な主張であり、今日提供されています。ホステッド階層は厳格なアップグレードパスです。費用と運用の複雑さがかかり、その設計は[docs/HOSTED-TIER.md](https://github.com/rohansx/wardn/blob/HEAD/docs/HOSTED-TIER.md)にあります。カバーされるものとされないものの正直な完全な目録：

👉 **[docs/THREAT-MODEL.md](https://github.com/rohansx/wardn/blob/HEAD/docs/THREAT-MODEL.md)** — カバー/非カバーの表、「no software vault eliminates host compromise」を明確に指摘し、アップグレードパスも記載。

## Install```bash
# Prebuilt binary (Linux/macOS, amd64/arm64), checksum-verified
curl -sSf https://raw.githubusercontent.com/rohansx/wardn/main/install.sh | sh

# or from crates.io
cargo install wardn

# or Homebrew, once the tap is published (see Formula/wardn.rb)
brew install rohansx/wardn/wardn

以上です。Claude Code は、環境から実際のキーを読み取る代わりに、wardn の MCP サーバーを使用してプレースホルダートークンを取得するようになりました。

### その後の流れ

1. Claude Code が `get_credential_ref` を呼び出す → `wdn_placeholder_a1b2...`（実際のキーではない）を取得
2. エージェントがプレースホルダーを含むリクエストを wardn プロキシ経由で送信
3. プロキシがプレースホルダーを実際のキーに置き換え、API に転送
4. レスポンスがエージェントに返される前に、プロキシが実際のキーを削除

実際のキーがエージェントのメモリ、ログ、LLM コンテキストウィンドウに入ることはありません。

## ローカルダッシュボード

デーモンが起動したら（`wardn serve`、または `wardn run` で起動）、ブラウザで
**http://127.0.0.1:7777/ui** を開いてください。読み取り専用、ローカルのみのビューです。

- **認証情報 (Credentials)** — 保存されたすべての認証情報とその ACL（許可されたエージェント、
  許可されたドメイン、レート制限 + 予算バッジ）を表示。
- **最近のアクティビティ (Recent Activity)** — 直近 50 件のプロキシイベントを表示。メソッド、ドメイン、
  パス、ステータス、エージェント、リクエスト ID、記録されたコスト（`request_completed`、
  `credential_injected`、`rate_limit`、`budget_exceeded`、`loop_detected`、
  `request_error`）を含む。
- **予算 (Budgets)** — 各認証情報の設定済み予算（最大、使用済み、
  残り、期間、モード）を、50% / 80% を超えると警告 → 不良に変わる進捗バー付きで表示。

2 秒ごとに自動ポーリングされます。変更用のエンドポイントはありません。ダッシュボードから操作する唯一の方法は API そのもの（`/api/summary`、`/api/credentials`、`/api/audit?limit=N`、`/api/budgets`）です。```bash
# Static, anonymous, never sees real keys
curl http://127.0.0.1:7777/api/summary | jq

## CLIリファレンス

### Vault管理```bash
wardn vault create                        # create encrypted vault
wardn vault set OPENAI_KEY                # store credential (prompts for value, no echo)
wardn vault get OPENAI_KEY                # get placeholder token (never the real value)
wardn vault get OPENAI_KEY --agent bot    # get placeholder for specific agent
wardn vault list                          # list all credentials
wardn vault rotate OPENAI_KEY             # rotate value, placeholders unchanged
wardn vault remove OPENAI_KEY             # remove credential

# Custom vault path
wardn --vault /path/to/vault.enc vault list

### Claude Code / Cursor 統合```bash
wardn setup claude-code                   # register wardn as MCP server in Claude Code
wardn setup cursor                        # register wardn as MCP server in Cursor

# Or manually:
claude mcp add --transport stdio --scope user wardn -- wardn serve --mcp --agent claude-code

#### 利用可能なMCPツール

| ツール | 返却内容 | セキュリティ |
|------|----------------|----------|
| `get_credential_ref` | プレースホルダートークン（`wdn_placeholder_...`） | 実際の値は含まれません |
| `list_credentials` | 認証情報名＋メタデータ | エージェントのアクセス権限でフィルタリング |
| `check_rate_limit` | 残りクォータ、リトライ情報 | 読み取り専用 |

### 認証情報の移行```bash
wardn migrate --dry-run                             # audit Claude Code dir for exposed keys
wardn migrate --source claude-code                  # scan + migrate to vault
wardn migrate --source open-claw                    # scan OpenClaw config
wardn migrate --source directory --path ./my-proj   # scan any directory

各インポーターは初回使用時にボールトのパスフレーズを要求します（または
`WARDN_PASSPHRASE` / OSキーチェーンから読み取ります）。既存の値は静かに
上書きされます — インポーターは値のみを扱い、メタデータ（許可エージェント /
ドメイン / レート制限 / 予算）は保持されます。

### 自動化

CI/スクリプトでは、`WARDN_PASSPHRASE` と `WARDN_VALUE` の環境変数を設定してインタラクティブなプロンプトをスキップします。```bash
WARDN_PASSPHRASE=my-pass wardn vault list
WARDN_PASSPHRASE=my-pass WARDN_VALUE=sk-proj-xxx wardn vault set OPENAI_KEY

### Vault 操作```rust
use wardn::{Vault, config::CredentialConfig};

// Create an encrypted vault
let vault = Vault::create("vault.enc", "my-passphrase")?;

// Store a credential
vault.set_with_config("OPENAI_KEY", "sk-proj-real-key-123", &CredentialConfig {
    allowed_agents: vec!["researcher".into(), "writer".into()],
    allowed_domains: vec!["api.openai.com".into()],
    rate_limit: Some(RateLimitConfig { max_calls: 200, per: TimePeriod::Hour }),
})?;

// Agent gets a placeholder (not the real key)
let placeholder = vault.get_placeholder("OPENAI_KEY", "researcher")?;
// → "wdn_placeholder_a1b2c3d4e5f6g7h8"

// Rotate the real key — all placeholders keep working
vault.rotate("OPENAI_KEY", "sk-proj-new-key-456")?;

### MCP Server```rust
use wardn::mcp::WardenMcpServer;

// Serve over stdio (for Claude Code, Cursor, etc.)
WardenMcpServer::serve_stdio(vault, rate_limiter, "agent-id".into()).await?;

Set `RUST_LOG=wardn=info`（または `debug`/`trace`）を設定して、冗長性を制御します。ログは stderr に出力され、stdout には出力されません。

## 設定```toml
[warden]
vault_path = "~/.vibeguard/vault.enc"

[warden.credentials.OPENAI_KEY]
rate_limit = { max_calls = 200, per = "hour" }
allowed_agents = ["researcher", "writer"]
allowed_domains = ["api.openai.com"]

[warden.credentials.ANTHROPIC_KEY]
rate_limit = { max_calls = 100, per = "hour" }
allowed_agents = ["researcher"]
allowed_domains = ["api.anthropic.com"]

## 開発```bash
# Integration tests use a fast (insecure) KDF so the suite runs in
# milliseconds instead of paying the real Argon2id cost per test —
# always pass this feature flag when running tests locally or in CI:
cargo test --features test-fast-kdf

cargo build
cargo clippy --all-targets --features test-fast-kdf

subgraph KDF["Key Derivation"]
    Argon["Argon2id\nm=19456 t=2 p=1"]
end

subgraph Encrypt["Encryption"]
    AES["AES-256-GCM"]
    Nonce["Random Nonce\n(12 bytes)"]
end

subgraph Output["WDNV File"]
    direction TB
    Magic["WDNV (4B)"]
    Ver["Version (2B)"]
    SaltOut["Salt (16B)"]
    Payload["Nonce ‖ Ciphertext ‖ Tag"]
end

Pass --> Argon
Salt --> Argon
Argon -- "256-bit key" --> AES
Creds --> AES
Nonce --> AES
AES --> Payload

style Input fill:#1a1a2e,stroke:#e94560,color:#fff
style KDF fill:#16213e,stroke:#00d2ff,color:#fff
style Encrypt fill:#16213e,stroke:#00d2ff,color:#fff
style Output fill:#0f3460,stroke:#533483,color:#fff

### ファイル形式```
Bytes 0-3:   Magic "WDNV"
Bytes 4-5:   Version (u16 LE)
Bytes 6-21:  Argon2id salt (16 bytes)
Bytes 22+:   AES-256-GCM encrypted payload (nonce ‖ ciphertext ‖ tag)