安全边界

概览

SecretBridge 不提供通过 Web 或 MCP 读取、导出凭据原文的接口。用户在本机管理页做决定，代理使用操作系统凭据库中的值执行获准操作，先过滤结果再保存和返回。SSH 主机密钥和 HTTPS 证书验证默认开启。

边界与检查

这些控制约束通过SecretBridge工具发起的操作。若同一 AI 客户端还拥有不受限制的终端、文件或网络能力，可能绕过SecretBridge。过滤不识别任意编码、变换或未绑定敏感数据。

五个必须区分的边界

1. 凭据存放：秘密在操作系统凭据库；SQLite 保存引用、状态和业务元数据。Web 与 MCP 没有读取、导出秘密原文的接口。
2. 授权决定：用户通过已登录的本机管理页审批，或为一条已核对请求主动提供一次性 TOTP 验证码；MCP 不能设置策略、读取绑定材料或自行批准。
3. 代理执行：代理只对已登记目标和获批操作临时使用凭据。Web 默认只绑定回环地址，MCP 经同用户本机 IPC 连接。
4. 结果发布：终端、运行结果和历史在保存或返回前过滤已绑定秘密，并对协议返回字段、大小和游标设限。
5. 目标身份：HTTPS 证书、数据库 TLS 和 SSH 主机指纹按配置核验，不因连接失败自动降级。

不能代替系统隔离

本机终端以当前系统用户身份运行，不是恶意程序沙箱。若 AI 客户端本身还拥有无限制的终端、文件或网络能力，它可以绕过 SecretBridge 接口。恶意程序若已能以凭据所有者身份执行任意代码，也可能读取该账号可访问的进程、文件或凭据库。最小权限系统账号和目标服务权限仍必要。

脱敏覆盖代理实际绑定的秘密及明确支持的表现形式；任意 Base64、哈希、加密、自定义变换、未绑定业务数据或目标程序主动外传不在保证内。只批准可信程序和必要输出。需要排查可能泄露时，先停止相关新任务、轮换源系统凭据并保留经过审查的最小证据；潜在漏洞通过私密报告入口提交。

继续阅读：审批与撤销 · SSH 指纹 · 安全连续终端。