开源项目OneCLI：为AI Agent构建的凭证安全网关，实现秘密“零接触”调用

OneCLI 是一款专为 AI Agent 设计的开源凭证管理网关，旨在解决智能体在调用外部 API 时面临的密钥泄露风险。随着 AI Agent 需要访问越来越多的外部服务（如 Google、GitHub、OpenAI），将敏感 API 密钥硬编码在 Agent 代码或配置文件中已成为巨大的安全隐患。OneCLI 提出了一种“存储一次，处处注入”的解决方案，其核心机制是在 AI Agent 与目标服务之间建立一道透明屏障。

开发者只需将真实的 API 凭证加密存储在 OneCLI 的保险库中，并授予 Agent 一个受限的访问令牌。当 Agent 发起 HTTP 请求时，OneCLI 的 Rust 网关会拦截该请求，自动匹配并解密对应的真实凭证，将其注入到请求头中，再转发给目标服务。在此过程中，Agent 自始至终都无法接触到真实的密钥，仅能看到请求被执行的结果。

在技术架构上，OneCLI 由高性能的 Rust HTTP 网关和 Next.js 构建的 Web 管理仪表板组成，支持 AES-256-GCM 加密存储和基于路径模式的凭证路由。该项目支持多 Agent 管理，每个智能体拥有独立的访问令牌和权限范围。项目提供了极简的一键安装脚本（支持 Docker Compose），开发者可快速在本地部署单用户模式，或配置 Google OAuth 支持团队协作。这为构建安全、可审计的 AI Agent 应用提供了关键的基础设施支持。

事件分析

💡 核心观点：随着AI Agent自主性提升，凭证管理将从“环境变量”演进为专用的安全网关模式，这是企业级AI应用落地的必要基础设施。