inflightsec/agent-vault-proxyAI 에이전트 및 이를 통해 라우팅하는 다른 모든 프로세스를 위한 Just-in-time API 키: 호출자는 항상 플레이스홀더만 볼 수 있습니다.
AI 에이전트 및 이를 통해 라우팅하는 모든 프로세스를 위한 JIT(Just-in-Time) API 키: 호출자는 플레이스홀더만 볼 수 있습니다.
이전 이름은 agent-vault-proxy였습니다. CLI는 이제 kow이며, 기존 avp 명령은 이번 릴리스에서도 여전히 동작하고 다음 메이저 버전에서 제거됩니다 (ADR-0045).
Keys on the Wire는 자격 증명 탈취 도구(Shai-Hulud 등)와 프롬프트 인젝션에 감염된 에이전트가 비밀을 유출하는 것을 방지합니다. 전송 중인 요청에 실제 비밀을 주입하는 로컬 프록시로, 손상되었거나 프롬프트 인젝션에 감염된 에이전트는 훔칠 것이 없습니다.
내부 동작: Bitwarden Secrets Manager(클라우드 또는 자체 호스팅)에서 자격 증명을 JIT로 가져와 아웃바운드 요청에 주입하는 루프백 HTTPS 프록시입니다. 따라서 호출 프로세스는 실제 자격 증명 바이트를 자신의 주소 공간에 보유하지 않습니다.
모든 기능이 Apache-2.0 라이선스로 이 저장소에 있으며, 유료 티어, 엔터프라이즈 에디션, 신뢰 클라우드, 텔레메트리가 없습니다. 전체 코드(수천 줄)를 처음부터 끝까지 읽고 영원히 실행할 수 있습니다.
전체 워크플로우는 한 번의 동작으로 끝납니다: 번들로 제공되는 스킬에 서비스 라우팅을 요청하면, 스킬이 Bitwarden(또는 사용자의 볼트)에 붙여 넣을 한 줄을 알려주고, 사용자가 붙여 넣으면 에이전트가 브로커링됩니다. 끝입니다. 브로커링된 모든 자격 증명은 하나의 바인딩이므로, 설정 그 자체가 각 에이전트가 접근할 수 있는 비밀이 정확히 무엇인지에 대한 완전하고 감사 가능한 목록입니다: 암시적이거나 숨겨진 것이 없습니다.
목표는 AI 에이전트 내부의 실제 키를 줄이는 것이지, 잠금(lock-in)이 아닙니다. Keys on the Wire가 적합하다면 사용하고, 대안 중 하나가 사용자 환경에 더 잘 맞는다면 그것을 사용하세요. 에이전트의 메모리에서 실제 비밀을 멀리하는 도구라면 무엇이든 승리입니다.
1. 설치 - Linux pipx, macOS brew:
pipx install 'keys-on-the-wire[bitwarden]' # [bitwarden] adds the Bitwarden backend SDK; drop it for AWS/GSM/env only
# macOS: brew install inflightsec/keys-on-the-wire/keys-on-the-wire
sudo kow setup --bws # paste your Bitwarden token — generates the CA, starts the daemon
2. 스킬 설치 - 에이전트가 바인딩을 대신 작성하도록:
/plugin marketplace add inflightsec/agent-vault-proxy
/plugin install avp@agent-vault-proxy
3. 스킬에 서비스 브로커링 요청 - *"Stripe API를 Keys on the Wire로 라우팅해 줘."*라고 말하세요. 스킬이 플레이스홀더를 발행하고 BitWarden에 붙여 넣을 정확한 메모를 출력합니다. 사용자의 키를 절대 볼 수 없습니다.
4. 볼트에 비밀 저장 - Bitwarden Secrets Manager(또는 Google Secret Manager)에 해당 메모와 함께 실제 키를 추가한 다음, 에이전트를 프록시로 라우팅하세요:
kow env && kow run claude
완료: 에이전트는 플레이스홀더만 전송하며, Keys on the Wire가 전송 중에 실제 키로 교체합니다.
kow run 대신 에이전트의 ~/.zshrc(또는 모든 셸 rc)에 프록시 + CA 변수를 내보낼 수 있습니다 — 정식 블록은 사용법을 참조하세요. 영구적이지만, 에이전트뿐만 아니라 사용자의 전체 셸을 Keys on the Wire로 라우팅합니다.
새로운 브로커링 자격 증명을 온보딩할 때 바인딩 YAML을 직접 작성할 필요가 없어야 합니다. 번들로 제공되는 **avp 스킬**을 통해 AI 어시스턴트(Claude Code 또는 스킬을 로드하는 모든 에이전트)가 이 과정을 안내합니다: *"Acme API를 Keys on the Wire로 라우팅해 줘."*라고 말하면, 인증 형식과 호스트를 묻고 정확히 무엇을 추가해야 하는지 알려줍니다: 비밀 이름과 Bitwarden Secrets Manager Notes 필드에 붙여 넣을 주석(또는 Google Secret Manager avp-binding 주석, 또는 향후 백엔드의 비밀별 메타데이터)입니다. 설정 편집이나 재배포가 필요 없으며, 어시스턴트는 비밀을 절대 보거나 저장하지 않습니다. 어시스턴트가 제안하고, 사용자가 적용합니다.
메모 자체는 비밀의 Notes 필드에 붙여 넣는 두 줄입니다:
# avp-binding
api.acme.com
마커 줄이 바인딩을 만드는 핵심입니다: 첫 줄이 # avp-binding이 아닌 메모는 그대로 사람이 읽는 설명으로 남으며, 절대 파싱되지 않습니다 (ADR-0025). (avp-binding 마커와 디스크 경로는 이번 릴리스에서 이전 버전 호환을 위해 이름을 유지합니다. 다음 메이저 버전에서 kow로 변경됩니다 - ADR-0045 참조.)
Claude Code(권장) - 플러그인으로 설치하면 모든 프로젝트에서 사용할 수 있고 /plugin marketplace update로 업데이트됩니다:
/plugin marketplace add inflightsec/agent-vault-proxy
/plugin install avp@agent-vault-proxy
/avp:avp로 호출하거나 *"Acme API를 Keys on the Wire로 라우팅해 줘"*라고 말하기만 하면 자동으로 트리거됩니다. (번들 플러그인은 당분간 avp 이름을 유지합니다. 마켓플레이스 마이그레이션과 함께 이름이 변경됩니다.)
수동 설치(Anthropic 형식 스킬을 로드하는 모든 에이전트) - skills/avp/을 에이전트의 스킬 디렉터리에 복사하거나 심볼릭 링크하세요. Claude Code는 ~/.claude/skills/를 읽습니다. 심볼릭 링크를 사용하면 git pull 시 최신 상태로 유지됩니다:
ln -s "$PWD/skills/avp" ~/.claude/skills/avp
MCP 서버는 빠르게 증가하는 자격 증명 유출 표면입니다: 각 서버는 장기 유지 업스트림 토큰(GitHub PAT, Slack/Brave/Perplexity 키)을 클라이언트 설정에 평문으로 보유하며, 클라이언트가 로드하는 모든 서버가 이를 읽을 수 있습니다. kow mcp install은 상시 보관된 비밀을 플레이스홀더로 교체하고 서버의 이그레스 트래픽을 프록시를 통해 라우팅하므로 실제 값이 설정에 존재하지 않습니다:
kow mcp install github --host api.github.com --env-var GITHUB_PERSONAL_ACCESS_TOKEN \
--server-cmd "npx -y @modelcontextprotocol/server-github"
볼트에 붙여 넣을 메모와 정확한 claude mcp add --env / codex mcp add --env 명령(프록시 + 런타임별 CA 신뢰 + 플레이스홀더 env)을 출력합니다: 볼트에는 제안만 하며, 비밀 값은 절대 다루지 않습니다. 번들로 제공되는 **avp 스킬**은 서버의 문서에서 호스트/헤더/형식을 파생하고 호스트를 먼저 사용자와 확인할 수 있습니다. 설계 및 위협 모델: ADR-0040.
bubblewrap과 Keys on the Wire 구성하기kow mcp install)프록시는 절대 외부로 연락하지 않습니다. 프록시가 만드는 유일한 아웃바운드 연결은 사용자가 구성한 BWS 엔드포인트와 에이전트가 호출하는 업스트림 API뿐입니다. 텔레메트리가 없습니다. /var/log/agent-vault-proxy/audit.jsonl의 감사 로그는 기본적으로 로컬 전용입니다. 선택적 오프박스 전송은 (프록시가 아닌 별도의 사이드카에서) 사용자가 실행하고 제어하는 수집기로만 전달합니다.
Apache-2.0: LICENSE 및 NOTICE 참조. 명시적 특허 허여는 보안 도구로서 의도적인 선택입니다 (ADR-0037). 모든 기능이 오픈코어, 엔터프라이즈 티어, 호스팅 서비스 없이 이곳에 포함되어 있습니다. 포크하여 처음부터 끝까지 읽고 영원히 실행하세요. 0.9.0 이하 릴리스는 원래 MIT 조건과 agent-vault-proxy 이름으로 계속 사용할 수 있습니다. 선행 기술은 CREDITS.md에 명시되어 있습니다.
하나의 의존성은 오픈소스가 아니며, 선택 사항입니다. 선택적 Bitwarden 백엔드는 Apache-2.0이 아닌 Bitwarden 자체 독점 SDK 라이선스가 적용되는 bitwarden-sdk를 사용합니다. Keys on the Wire는 이를 번들로 포함하지 않습니다. 해당 백엔드를 사용하는 경우에만 직접 설치합니다(pip install 'keys-on-the-wire[bitwarden]'). 기본 설치와 AWS Secrets Manager, Google Secret Manager, env 백엔드는 100% 오픈소스입니다.
static 포함) 및 추가 방법op run, superfly/tokenizer, OneCLI 및 기타 에이전트 자격 증명 도구와 비교 (적합한 것을 사용하세요: 핵심은 더 많은 에이전트가 보호되는 것이지 잠금이 아닙니다)