本地凭据库让AI编程助手安全用密钥，MCP工具链与打码机制详解

当AI编程助手如Claude Code、Codex需要访问生产数据库或云服务API时，传统做法是将密钥直接粘贴进对话上下文——这一操作看似便捷，实则埋下巨大安全隐患：密钥可能被记录在服务商日志、本地会话缓存、命令行历史甚至截图中，且难以追溯与回收。

针对这一痛点，一个名为“小密盾”的本地密码管理器项目提出了一套工程化解决方案：在用户设备本地构建凭据库，使AI能安全调用密钥，但始终无法接触明文。其核心目标可概括为四点：本地解密（服务端不持有密钥）、按条授权（默认零权限）、可用不可见（运行时注入但输出打码）、人在回路（锁屏时需手机确认）。整个系统采用开源Rust加密核心，配合Flutter桌面App与轻量级浏览器扩展，不绑定任何特定AI平台，而是通过标准化MCP协议与命令行接口接入。

系统架构上，所有权限判定、密钥解密与审计逻辑均集中在桌面App内完成。AI仅通过两个签名验证过的命令行程序与系统交互：rootkey mcp作为STDIO模式的MCP Server，负责转发工具调用请求；rootkey run则用于在子进程中注入密钥环境变量。二者与App之间通过权限为0600的Unix Socket通信，macOS环境下还会校验代码签名以防止劫持。浏览器扩展仅为瘦客户端，不缓存密钥，仅按页面来源向App申请单条凭据。

密钥体系采用多层派生结构：主密码经Argon2id（128 MiB内存、3轮迭代、4线程并行）生成主解锁密钥，再逐级派生账户根密钥、保险库密钥，最终为每条凭据分配独立密钥。数据加密使用XChaCha20-Poly1305，附加数据绑定条目ID，确保篡改可检；包装层采用AES-256-GCM-SIV，兼顾性能与安全性。该加密方案已在开源仓库中完整公开并附测试用例。

MCP工具集共设计19个接口，分为四大类：状态与查找（如vault_status、vault_search）、读取与使用（如vault_get、fill_login）、写入操作（如vault_create、vault_edit），以及项目与环境变量管理（如project_set_environment、project_capture）。其中几项设计尤为关键：

首先，“搜不到 ≠ 没有”。AI仅能检索已授权的条目；若所需凭据未开放，它必须调用vault_request_access说明用途，由用户在App中手动选择授权对象。此举避免AI因误判“无凭据”而自行创建重复项。

其次，打码提示本身即为操作指南。早期版本中，模型常因模糊提示误解“可用不可见”机制；现版打码串明确标注用法，例如：“●●●●●● (可用不可见:用 rootkey run <条目> --env-var <变量名> -- <命令> 注入,或 fill_login 代填网页)”，显著提升模型执行准确率。

第三，项目与环境变量被提升为一等公民。开发人员通常按“项目-阶段”（如shop.production）组织密钥需求，project_get返回变量清单及关联条目（不含值），而rootkey run --project shop --stage production -- <命令>可一次性注入整组环境变量，大幅简化CI/CD脚本编写。

实际工作流中，AI助手先通过vault_get获取某条凭据的元信息（如host、username），再调用rootkey run "订单库 (production)" --env-var DB_PASSWORD -- python scripts/orders_today.py执行脚本。此时密钥以环境变量形式注入子进程，但命令输出中出现的密码字段会被自动打码。示例显示，脚本成功查询出“今天订单128笔，成交额¥17,909.68”，而DB_PASSWORD值始终以●●●●●●呈现——AI看到的是结果，而非密钥本身。

安全边界进一步延伸至设备锁屏场景。当电脑处于锁定状态时，AI发起的密钥请求不会被App直接响应，而是经中转服务器加密推送至用户手机App。手机端显示请求来源（如“Claude Code 想用 订单库 (production)”）及三条选项：仅放行当前条目、放行该AI 10分钟、拒绝。用户确认后，认证码由设备私钥签名生成，App据此解锁对应凭据。整个过程确保：服务器仅转发加密信封，无法解密内容；即使中转服务器被攻破，攻击者也无法伪造有效认证。

值得注意的是，该方案刻意规避了传统密码管理器的常见陷阱。例如，不依赖云端同步密钥（仅网盘存储密文文件），不将权限判断交给远程服务（全部本地决策），也不允许AI批量导出凭据列表。每次密钥读取均记录时间、调用方、条目ID，用户可在App中一键撤销某条授权，或清除全部审计日志。

技术实现中亦有若干坑点值得复盘。例如，MCP规范允许工具声明outputSchema，项目初期使用JSON Schema的$ref引用导致某客户端解析失败，19个工具全部消失；后改为内联定义才解决。又如，最初未对命令输出做全局过滤，导致ps aux等命令中泄露的环境变量未被遮蔽；后续增加TTY输出监听与正则匹配打码层，覆盖标准输出、错误流及管道传输路径。

从行业视角看，此类本地化AI辅助工具正成为DevOps安全链条的关键补位。随着GitHub Copilot、Cursor等AI编程工具普及，开发者对“AI可信执行环境”的需求日益迫切。Gartner在2024年预测中指出，到2026年，30%的企业将部署专用本地代理层，用于隔离AI与敏感凭证交互。小密盾的实践表明，无需复杂基础设施，仅靠标准协议（MCP）、命令行集成与端到端加密，即可构建高可用、低侵入的安全桥接层。

目前该项目已开源核心加密模块与MCP工具定义，桌面App处于Alpha测试阶段。其设计哲学并非追求功能堆砌，而是聚焦“最小可行信任”：AI只需知道“能做什么”，无需知道“有什么”；人类保有最终控制权，系统仅执行明确授权的操作。在AI深度融入软件开发流程的当下，这种“人机协同、权限收敛”的思路，或许比单纯提升模型能力更具现实意义。