近日，一款名为 OneCLI 的开源工具在Hacker News上引发关注。该工具被定位为“OSS credential gateway（开源凭证网关）”，其核心设计理念是：让AI代理在执行任务时不再直接接触任何秘密（如API密钥、数据库密码等），从而从根源上切断因AI不当行为导致的数据泄露风险。
随着以大型语言模型（LLM）驱动的AI代理（AI Agent）越来越多地介入代码编写、服务器管理、数据查询等操作，一个严峻的安全挑战浮出水面：这些代理需要访问各种外部服务，就必须使用凭证。然而，传统做法直接将凭证写入环境变量、配置文件或对话上下文中，一旦AI代理被诱导输出、日志记录不当或被第三方截获，秘密就可能“裸奔”。OneCLI正是为了解决这一痛点而生。
核心机制：代理不碰密，网关做“守门人”
OneCLI的工作原理类似一个轻量级的反向代理或门禁系统。它运行在用户本地或服务器上，接管所有AI代理对外部服务的请求。具体流程如下：
- AI代理发起请求：当AI需要调用某个API或数据库时，它会向OneCLI的本地端点发送请求，而非直接连接目标服务。
- 凭证网关鉴别与注入：OneCLI根据请求的目标、用户预配的权限策略，自动从安全存储（如系统密钥链、HashiCorp Vault或加密文件）中取出对应的凭证，并以临时、限权的方式附加到请求中。
- 转发真实请求：OneCLI将携带凭证的请求发送给目标服务，并将返回结果返回给AI代理。整个过程对AI代理而言是透明的，但它从未“见过”凭证本身。
这种模式借鉴了零信任架构中的“Just-In-Time”和“Least Privilege”原则：AI代理仅能通过网关发起被授权的操作，且凭证永不离开网关的加密内存。
技术亮点：开源、轻量、可嵌入
OneCLI以开源形式发布在GitHub上（仓库地址随公告附上），采用Apache 2.0许可证，支持主流的操作系统。其技术栈轻量，单一二进制文件即可运行，不依赖庞大的运行时环境。开发者可以将其集成到现有的AI工作流中，例如与LangChain、AutoGPT等框架配合使用，只需将OneCLI的本地地址设为代理出口即可。
此外，OneCLI内置了审计日志功能，每次凭证调用都会被记录，方便事后追溯。它还支持插件式的身份源，用户可根据自身需求对接不同的密钥管理服务。
行业意义：AI安全从“隔离”走向“沙箱化管理”
近年来，AI代理带来的安全事件屡见不鲜：有开发者发现ChatGPT在调试代码时无意间输出了数据库密码；也有企业因AI Agent被注入恶意指令而导致内部令牌泄露。传统的安全建议往往是“不要给AI直接访问生产环境的权限”，但这一做法限制了AI的实用性。
OneCLI提供了一种新的平衡：让AI拥有执行能力，但剥夺它“持有秘密”的权利。这意味着，即使AI被诱导输出其“所见所闻”，也不会暴露真正的凭证。项目作者在HN帖中强调：“我们的目标不是阻止AI做事情，而是确保它做事情的方式不会让秘密暴露。”
展望与局限
目前OneCLI仍处于早期阶段，社区反馈主要集中在：是否支持更复杂的动态授权（如基于请求内容的策略）、如何与已有Kubernetes Secret管理集成等。项目作者表示，欢迎贡献者参与完善，并计划在后续版本中加入基于OAuth2的代理模式。
对于团队而言，采用OneCLI意味着需要额外部署一个网关组件，并维护凭证仓库。但对于安全性要求较高的场景（如金融、医疗、自动化运维），这种“零信任”式的凭证调度可能成为标配。
在AI代理快速渗透开发流程的今天，OneCLI的出现恰逢其时——它不只是一个工具，更是一种安全理念的落地：信任AI的能力，但永远不要让它掌管秘密。
项目地址：https://github.com/onecli/onecli （示例，实际需替换）