agent-vault

给 AI 代理一个安全的凭证保险库，告别硬编码密钥

开源 🏷️定价信息待确认 ✅ 目前可打开智能体 🍴 复刻 182 🐛 待处理 98 👀 关注 5

访问官网 ↗ GitHub ↗

GitHub 星标 ★ 2494

维护状态活跃

是否开源开源

定价模式 🏷️定价信息待确认

项目预览

agent-vault 项目界面预览图 — 图片来源：GitHub 官方仓库名片

项目数据

分类智能体

开发团队Infisical

官网地址https://docs.agent-vault.dev

GitHubhttps://github.com/Infisical/agent-vault

定价模式🏷️定价信息待确认

价格说明定价信息待确认

访问状态✅ 目前可打开

是否开源是

开源协议NOASSERTION

主要语言Go

技术栈/模型agents,ai-agents,secrets-management

GitHub 星标★ 2494

上线时间2026-03-27 00:00:00

代码更新2026-11-07

仓库体积26.2 MB

本站数据更新2026-11-10

维护状态活跃

收录时间2026-08-09

浏览次数6

项目介绍

agent-vault 是一个面向 AI 代理（如 Claude Code、OpenClaw、Hermes 等）的 HTTP 凭证代理与保险库。它解决了 AI 代理在运行过程中需要安全访问 API 密钥、令牌等敏感凭证的问题，避免将凭证硬编码在代码或配置文件中。核心能力包括：通过 HTTP API 统一管理凭证的存储与检索，为代理提供透明的凭证注入代理层，支持动态轮换与访问审计，并可与自定义代理或 harness 集成。项目用 Go 编写，轻量高效，适合在本地或私有化环境部署，为 AI 工作流提供安全的凭证管理基础设施。

Star 增长趋势

本站每日记录该项目 GitHub 星标变化，观测越久曲线越完整

数据来源：GitHub API 逐日快照 · 收录于 2026-08-09 · 当前星标 ★ 2494

技术标签

agents ai-agents

使用教程

难度：进阶约 20 分钟部署方式：本地安装 8 步

环境要求

macOS（Intel 或 Apple Silicon）或 Linux（x86_64 或 ARM64）系统
可访问外网，以执行官方安装脚本 get.agent-vault.dev
准备主密码并通过 AGENT_VAULT_MASTER_PASSWORD 设置，需妥善保存
本机需开放 14321（管理 UI/API）与 14322（MITM 代理）两个端口
可选：若用 Docker 部署，需已安装 Docker

安装与启动步骤

1安装 Agent Vault

执行官方安装脚本，自动安装单文件二进制（同时是服务端和 CLI），支持 macOS 与 Linux。
```
curl --proto '=https' --proto-redir '=https' --tlsv1.2 -fsSL https://get.agent-vault.dev | sh
```
2设置主密码并启动

主密码用于数据加密，必须存好；进程读取后会被清除。服务端以后台方式启动。
```
export AGENT_VAULT_MASTER_PASSWORD=your-password
agent-vault server -d
```

3或用 Docker 启动

不想本地装二进制可用官方镜像，端口与数据卷按 README 给出的映射即可。

docker run -it -p 14321:14321 -p 14322:14322 -e AGENT_VAULT_MASTER_PASSWORD=your-password -v agent-vault-data:/data infisical/agent-vault

4初始化 owner 账户

浏览器打开管理 UI，按提示创建实例的第一个用户，即 owner。
5创建保险库与凭证

在管理 UI 或服务机上的 CLI 中创建 vault、录入凭证，并配置服务规则做占位符替换。
6创建 agent 并取令牌

为长期运行的代理创建 agent 并获取 token；沙箱场景可让编排后端签发短期 token。

7配置代理环境变量

在 AI 代理的运行环境中设置地址、令牌、vault 名称，并用占位符代替真实密钥。

export AGENT_VAULT_ADDR=http://192.168.1.10:14321
export AGENT_VAULT_TOKEN=your-agent-token
export AGENT_VAULT_VAULT=my-vault
export ANTHROPIC_API_KEY=__anthropic_api_key__

8启动代理流量转发

在代理环境中安装 CLI，然后用 run 子命令包裹你的代理进程，使其请求经 Agent Vault 出站。
```
agent-vault run -- claude
```

关键配置

配置项	必填	说明	示例
`AGENT_VAULT_MASTER_PASSWORD`	是	服务端主密码，参与数据加密机制，启动前必须设置	`your-password`
`AGENT_VAULT_ADDR`	是	代理侧指向 Agent Vault 管理 API 的地址	`http://192.168.1.10:14321`
`AGENT_VAULT_TOKEN`	是	在 Agent Vault 中为 agent 生成的访问令牌	`your-agent-token`
`AGENT_VAULT_VAULT`	是	代理要使用的保险库（vault）名称	`my-vault`
`ANTHROPIC_API_KEY`	否	放在代理环境里的占位符，出站时被真实密钥替换	`__anthropic_api_key__`

如何确认成功

浏览器访问 http://<host>:14321，出现创建首个 owner 用户的界面即说明服务已正常启动。

常见问题

Q：两个端口分别做什么用？

A：14321 提供 HTTP API 与管理 UI，14322 是透明 HTTP/HTTPS 代理，同一个监听器既处理 https 的 CONNECT 请求，也处理 http 的转发代理请求。

Q：Agent Vault 应该部署在哪里？

A：按设计应与 AI 代理部署在不同机器上，从而保证代理无法直接读取保险库里的真实凭证。

Q：代理需要拿到真实密钥吗？

A：不需要。代理环境里只放类似 __anthropic_api_key__ 的占位值，真实密钥由 Agent Vault 在请求出站时注入。

Q：怎么把 CLI 打进已有的代理镜像？

A：在 Dockerfile 中加一行 COPY --from=infisical/agent-vault:latest /usr/local/bin/agent-vault /usr/local/bin/agent-vault，再用 ENTRYPOINT ["agent-vault","run","--","claude"] 启动。