agent-vault

给 AI 代理一个安全的凭证保险库，告别硬编码密钥

agent-vault 是一个面向 AI 代理（如 Claude Code、OpenClaw、Hermes 等）的 HTTP 凭证代理与保险库。它解决了 AI 代理在运行过程中需要安全访问 API 密钥、令牌等敏感凭证的问题，避免将凭证硬编码在代码或配置文件中。核心能力包括：通过 HTTP API 统一管理凭证的存储与检索，为代理提供透明的凭证注入代理层，支持动态轮换与访问审计，并可与自定义代理或 harness 集成。项目用 Go 编写，轻量高效，适合在本地或私有化环境部署，为 AI 工作流提供安全的凭证管理基础设施。

开源 unknown 智能体

访问官网 ↗ GitHub ↗ 文档 ↗

GitHub 星标 ★ 2256

维护状态活跃

是否开源是

定价模式 unknown

项目数据

分类智能体

开发团队Infisical

所属国家

官网地址https://docs.agent-vault.dev

GitHubhttps://github.com/Infisical/agent-vault

定价模式unknown

价格说明定价信息待确认

访问状态

是否开源是

开源协议NOASSERTION

主要语言Go

技术栈/模型agents,ai-agents,secrets-management

GitHub 星标★ 2256

30天Star增速

HF 下载量

上线时间2026-03-27 00:00:00

最近更新2026-09-23 00:00:00

维护状态活跃

中文支持

访问方式

移动端支持

综合评分

收录时间2026-08-09

浏览次数5

使用教程

难度：进阶约 20 分钟部署方式：本地安装 8 步

环境要求

macOS（Intel 或 Apple Silicon）或 Linux（x86_64 或 ARM64）系统
可访问外网，以执行官方安装脚本 get.agent-vault.dev
准备主密码并通过 AGENT_VAULT_MASTER_PASSWORD 设置，需妥善保存
本机需开放 14321（管理 UI/API）与 14322（MITM 代理）两个端口
可选：若用 Docker 部署，需已安装 Docker

安装与启动步骤

1安装 Agent Vault

执行官方安装脚本，自动安装单文件二进制（同时是服务端和 CLI），支持 macOS 与 Linux。
```
curl --proto '=https' --proto-redir '=https' --tlsv1.2 -fsSL https://get.agent-vault.dev | sh
```
2设置主密码并启动

主密码用于数据加密，必须存好；进程读取后会被清除。服务端以后台方式启动。
```
export AGENT_VAULT_MASTER_PASSWORD=your-password
agent-vault server -d
```

3或用 Docker 启动

不想本地装二进制可用官方镜像，端口与数据卷按 README 给出的映射即可。

docker run -it -p 14321:14321 -p 14322:14322 -e AGENT_VAULT_MASTER_PASSWORD=your-password -v agent-vault-data:/data infisical/agent-vault

4初始化 owner 账户

浏览器打开管理 UI，按提示创建实例的第一个用户，即 owner。
5创建保险库与凭证

在管理 UI 或服务机上的 CLI 中创建 vault、录入凭证，并配置服务规则做占位符替换。
6创建 agent 并取令牌

为长期运行的代理创建 agent 并获取 token；沙箱场景可让编排后端签发短期 token。

7配置代理环境变量

在 AI 代理的运行环境中设置地址、令牌、vault 名称，并用占位符代替真实密钥。

export AGENT_VAULT_ADDR=http://192.168.1.10:14321
export AGENT_VAULT_TOKEN=your-agent-token
export AGENT_VAULT_VAULT=my-vault
export ANTHROPIC_API_KEY=__anthropic_api_key__

8启动代理流量转发

在代理环境中安装 CLI，然后用 run 子命令包裹你的代理进程，使其请求经 Agent Vault 出站。
```
agent-vault run -- claude
```

关键配置

配置项	必填	说明	示例
`AGENT_VAULT_MASTER_PASSWORD`	是	服务端主密码，参与数据加密机制，启动前必须设置	`your-password`
`AGENT_VAULT_ADDR`	是	代理侧指向 Agent Vault 管理 API 的地址	`http://192.168.1.10:14321`
`AGENT_VAULT_TOKEN`	是	在 Agent Vault 中为 agent 生成的访问令牌	`your-agent-token`
`AGENT_VAULT_VAULT`	是	代理要使用的保险库（vault）名称	`my-vault`
`ANTHROPIC_API_KEY`	否	放在代理环境里的占位符，出站时被真实密钥替换	`__anthropic_api_key__`

如何确认成功

浏览器访问 http://:14321，出现创建首个 owner 用户的界面即说明服务已正常启动。

常见问题

Q：两个端口分别做什么用？

A：14321 提供 HTTP API 与管理 UI，14322 是透明 HTTP/HTTPS 代理，同一个监听器既处理 https 的 CONNECT 请求，也处理 http 的转发代理请求。

Q：Agent Vault 应该部署在哪里？

A：按设计应与 AI 代理部署在不同机器上，从而保证代理无法直接读取保险库里的真实凭证。

Q：代理需要拿到真实密钥吗？

A：不需要。代理环境里只放类似 __anthropic_api_key__ 的占位值，真实密钥由 Agent Vault 在请求出站时注入。

Q：怎么把 CLI 打进已有的代理镜像？

A：在 Dockerfile 中加一行 COPY --from=infisical/agent-vault:latest /usr/local/bin/agent-vault /usr/local/bin/agent-vault，再用 ENTRYPOINT ["agent-vault","run","--","claude"] 启动。

注意事项

主密码要存放在安全位置，它参与数据加密，进程在首次读取后会将环境变量清除。
远程管理 14321 端口时建议加 TLS 与认证，例如 SSO 反向代理、IP 白名单或 VPN。
代理侧同样需要安装 Agent Vault CLI，才能用 agent-vault run 包裹代理进程。
更多部署与集成方式请查阅官方文档 https://docs.agent-vault.dev/installation。

核心亮点

专为 AI 代理设计，支持 Claude Code、OpenClaw 等主流工具，集成简单
HTTP 代理模式，代理无需感知凭证细节，可无缝替换现有密钥注入方式
支持凭证轮换和审计日志，提升安全性与可追踪性

不足之处

项目较新，文档与社区生态仍在完善中
依赖 HTTP 代理模式，对非 HTTP 协议或本地调用场景支持有限

适用场景

本地开发：为多个 AI 代理统一管理 API 密钥，避免散落各处
团队协作：共享凭证池，按需分配并记录访问痕迹
自动化流水线：在 CI/CD 中安全注入代理所需凭证

替代项目

Hashicorp Vault、Infisical、Doppler

项目介绍

agent-vault 是基础设施领域的开源项目，由 Infisical 开发，是 2026 年新上线的项目。

在全站 13,090 个收录项目中，它的 GitHub 星标数（2,256）位列前 30%，在基础设施分类中处于中上游。

近 42 天，它的 GitHub 星标从 2,066 增加到 2,256，净增 190。

项目目前处于活跃维护状态，最近一次代码更新于 2026-09-23。从国内网络环境看，可直接访问。

它主要面向的使用场景是：本地开发：为多个AI代理统一管理API密钥，避免散落各处。同类可对比的替代方案包括 Hashicorp Vault、Infisical、Doppler。

上一篇：navop

下一篇：zeroid