Keystash

io.github.thu-lawyerv0.3.3更新於 Oct 7, 2026

Local encrypted vault that lets an AI agent use your secrets without exposing them to the model.

已驗證STDIO僅桌面Developer Tools Security & Monitoring

概覽

AI 產生的概覽

Keystash 是本地加密保險庫的 MCP 伺服器，讓 AI 助理在不看見密鑰值的情況下列出、注入、複製與產生密鑰。

功能: 以 stdio 方式在本機執行，底層是一個加密保險庫檔案。工具包含 list_entries 與 status（只回傳名稱、標籤、到期時間、環境變數名稱）、run_command（把密鑰注入指令並從輸出中遮蔽）、copy_secret（把值送到剪貼簿）、generate_and_store、add_secret、update_entry 與 delete_entry。除了刻意保留的 add_secret 之外，助理不會取得密鑰值。
適用情境: 適合讓 AI 助理執行需要 API key、token 或密碼的指令與工作流程，同時避免這些值進入對話與模型上下文。也適合把散落在 .env 檔案與 shell 歷史中的密鑰集中到一個加密檔案。
執行需求: macOS 桌面上的本機程序，從 PyPI 安裝（keystash），以 uvx 或 keystash 命令列執行。需要一個保險庫檔案，透過 KEYSTASH_VAULT 環境變數或 --vault 指定。解鎖使用主密碼，可用 keystash unlock 存入 Touch ID；指令稿與 CI 可用 KEYSTASH_PASSWORD 提供。不需要網路或帳號。

安裝前請注意

保險庫存放的是真實憑證，主密碼與 KEYSTASH_PASSWORD 都很敏感。add_secret 是唯一會把密鑰值放進對話的工具。copy_secret 會把值放到剪貼簿，run_command 會帶著注入的密鑰執行指令，輸出雖已遮蔽但指令仍會執行。delete_entry 需要 confirm: true。README 說明：助理若刻意撰寫外傳程式碼無法攔阻，只能稽核。

安裝

在 SourceWeft 中

開啟儀表板中的 Keystash，將其新增到工作區。
為需要使用其工具的對話啟用該服務。

Desktop only，透過 STDIO。 STDIO 服務會啟動本機處理程序，因此需要 SourceWeft 桌面主機。

其他 MCP 客戶端

參照儲存庫中的啟動說明。

README

keystash 🔑

[CI] [PyPI] [License]

English | 中文

Give an AI agent access to your secrets — without ever showing it a secret. keystash runs as an MCP server: the agent can inject keys into commands, hand one to your clipboard, or generate a new one, and never sees a value. Touch ID fires only when a secret is actually read — never at session startup.

Local-first encrypted vault for API keys, tokens and passwords — one file you own, fuzzy search, env injection, expiry tracking, Touch ID unlock, a plaintext-leak hunter, and a zero-plaintext MCP server for AI agents.

Your LLM API keys, cloud tokens and passwords are scattered across .env files, shell histories and notes apps. keystash puts them in one encrypted file that you own: no server, no account, no subscription. Sync that file with iCloud / Dropbox / SeaDrive / Syncthing — it's ciphertext, so syncing it is safe.

bash

pip install keystashkeystash init     # once; then `keystash unlock` for Touch ID–gated daily use

pip install keystashkeystash init     # once; then `keystash unlock` for Touch ID–gated daily use

English | 中文

English

Why keystash

	keystash	pass / gopass	Bitwarden / 1Password	Infisical / Vault
Setup	`pip install` + one password	GPG key ceremony	Account + app	Self-host a server
Storage	one encrypted file you own	many GPG files	vendor cloud	server
Offline	✅ always	✅	partial	❌
Touch ID unlock	✅ built-in	❌	app-only	❌
Finds scattered plaintext keys on your machine	✅ `doctor`	❌	❌	❌
AI agents without plaintext exposure	✅ `mcp`	❌	❌	enterprise
Dev workflow (env injection, `run`)	✅ built-in	❌	❌	✅ (heavy)
Token expiry tracking	✅ built-in	❌	❌	enterprise

Quick start

bash

# 1. Create your vault (Fernet: AES-128-CBC + HMAC, PBKDF2-HMAC-SHA256 600k iters)keystash init
# 2. Store a secretkeystash add openai --secret sk-... --tags llm,prod --expires 2027-01-31 --env-var OPENAI_API_KEY
# 3. Retrieve itkeystash get openai              # masked previewkeystash get openai -c           # → clipboard, auto-clears after 30 skeystash get openai -q           # raw secret for scripts: export K=$(keystash get openai -q)
# 4. Find things (fuzzy)keystash ls                      # everything, expiry warnings includedkeystash ls oprod                # fuzzy: matches openai-prodkeystash ls --tag llm --json
# 5. Inject secrets into any command — nothing touches your shell or diskkeystash run -n openai -n anthropic -- python train.pykeystash run --tag llm -- python train.pyeval "$(keystash env --tag llm)" # or export them explicitly
# 6. Migrate off plaintext .env fileskeystash import .env             # then delete the .env file

# 1. Create your vault (Fernet: AES-128-CBC + HMAC, PBKDF2-HMAC-SHA256 600k iters)keystash init
# 2. Store a secretkeystash add openai --secret sk-... --tags llm,prod --expires 2027-01-31 --env-var OPENAI_API_KEY
# 3. Retrieve itkeystash get openai              # masked previewkeystash get openai -c           # → clipboard, auto-clears after 30 skeystash get openai -q           # raw secret for scripts: export K=$(keystash get openai -q)
# 4. Find things (fuzzy)keystash ls                      # everything, expiry warnings includedkeystash ls oprod                # fuzzy: matches openai-prodkeystash ls --tag llm --json
# 5. Inject secrets into any command — nothing touches your shell or diskkeystash run -n openai -n anthropic -- python train.pykeystash run --tag llm -- python train.pyeval "$(keystash env --tag llm)" # or export them explicitly
# 6. Migrate off plaintext .env fileskeystash import .env             # then delete the .env file

Touch ID unlock

Typing the master password for every command is exactly the friction that pushes people back to plaintext notes. Unlock once and macOS gates it instead:

bash

keystash unlock   # verify master password, store it behind Touch IDkeystash get openai -c   # → Touch ID prompt → copiedkeystash lock     # remove the stored credential again

keystash unlock   # verify master password, store it behind Touch IDkeystash get openai -c   # → Touch ID prompt → copiedkeystash lock     # remove the stored credential again

Every read shows the system authentication prompt (Touch ID → Apple Watch → device passcode fallback). --no-keychain or KEYSTASH_PASSWORD bypass it for scripts and CI. On machines without biometry the keychain still removes the typed password.

keystash doctor — clean up the mess you already have

Browser password managers only guard the keys you remember to move. doctor actively hunts the ones littering your machine:

bash

keystash doctor                    # scan cwd + ~/.zshrc, ~/.zsh_history, ~/.env …keystash doctor ~/projects         # scan any pathkeystash doctor --import-all       # store every new finding in the vaultkeystash doctor --import-all --shred --yes   # …and redact the plaintext in place

keystash doctor                    # scan cwd + ~/.zshrc, ~/.zsh_history, ~/.env …keystash doctor ~/projects         # scan any pathkeystash doctor --import-all       # store every new finding in the vaultkeystash doctor --import-all --shred --yes   # …and redact the plaintext in place

Knows OpenAI / Anthropic / GitHub / AWS / Google / Slack / Stripe / Hugging Face / SendGrid token shapes, PEM private keys, JWTs, plus an entropy-checked API_KEY=... sweep. Secrets already in the vault are reported as stored; --shred replaces each value with a [redacted→keystash:<name>] placeholder so file structure and comments survive.

AI agents, zero plaintext: `keystash mcp`

Run keystash as an MCP server so AI agents (Claude Desktop, ZCode, Cursor, …) can orchestrate secrets without ever seeing their values:

json

{  "mcpServers": {    "keystash": {      "command": "keystash",      "args": ["mcp"],      "env": { "KEYSTASH_VAULT": "/path/to/vault.json" }    }  }}

{  "mcpServers": {    "keystash": {      "command": "keystash",      "args": ["mcp"],      "env": { "KEYSTASH_VAULT": "/path/to/vault.json" }    }  }}

What the agent gets — and what it can never get:

Tool	Agent sees
`list_entries`, `status`	names, tags, expiry, env-var names — never values
`run_command`	command output with every injected secret scrubbed; obvious dumpers (`printenv`, `env`, `/proc/*/environ`) are refused
`copy_secret`	"copied to clipboard" — the value goes to your clipboard, not the conversation
`generate_and_store`	confirmation only; the generated secret never exists in the conversation
`add_secret`	⚠️ the one intentional exception, for keys the human already pasted into the chat
`update_entry`, `delete_entry`	metadata edits; deletion requires `confirm: true`

Run keystash unlock once beforehand and the server picks the password up from the keychain — the Touch ID prompt appears lazily, on the first tool call that actually needs the vault (never at session startup), and at most once per session. A locked server answers every call with a helpful hint instead of prompting on stdio. Remaining risk, stated honestly: an agent deliberately writing code that exfiltrates (encode, split, transform) cannot be stopped — that is visible in its transcript and auditable by you. The server removes the accidental exposure path entirely.

Commands

Command	Purpose
`init`	Create the vault
`add NAME`	Store a secret (`-s` value, `-g LEN` to generate, `-t` tags, `--expires YYYY-MM-DD`, `--env-var`)
`get NAME`	Show (`-r` reveal), copy (`-c`), raw output (`-q`)
`ls [QUERY]`	List / fuzzy search (`--tag`, `--json`)
`edit NAME`	Update any field in place
`rm NAME`	Delete an entry
`gen [LEN]`	Generate a strong secret (`--save NAME` to store it)
`env NAME…` / `--tag`	Print `export` lines for shell eval
`run -n NAME… -- CMD`	Run a command with secrets injected as env vars (`--tag` selects by tag)
`import FILE`	Bulk-import `.env` or JSON
`export`	Export metadata (or secrets with `--with-secrets`) as JSON / dotenv
`unlock` / `lock`	Store / remove the master password behind Touch ID (macOS)
`doctor`	Scan for scattered plaintext secrets; `--import-all`, `--shred`
`mcp`	MCP server for AI agents (zero-plaintext tool surface)
`status`	Vault health + expired / expiring-soon report

Multi-machine sync

The vault is a single encrypted file. Point KEYSTASH_VAULT at any synced folder:

Each write re-encrypts with a fresh random salt, so last-writer-wins applies — prefer one writer per vault at a time, like any sync file.

Security model

Cipher: Fernet (AES-128-CBC + HMAC-SHA256, encrypt-then-MAC) via cryptography.
Key derivation: PBKDF2-HMAC-SHA256, 600 000 iterations, per-save 128-bit random salt.
File mode: 0600; nothing is ever written to disk in plaintext.
Clipboard: copied secrets are auto-cleared after 30 s (best effort, detached process).
No network. No telemetry. The CLI is fully offline.
Secrets live in process memory only while a command runs; Python cannot guarantee zeroization after exit — the same is true of any CLI in a GC'd language.

Environment variables

Development

中文

让 AI 助手用上你的密钥，却不让它看见密钥。 keystash 可以跑成 MCP 服务器：AI 能把密钥注入命令、复制进你的剪贴板、或生成新密钥，全程看不到任何密钥值。Touch ID 只在真正读取密钥时弹出，会话启动时绝不弹。

为什么是 keystash

LLM 的 API key、云服务 token、各类密码散落在 .env、shell 历史和备忘录里。 keystash 把它们收进一个你完全拥有的加密文件：不需要服务器、不需要注册账号、没有订阅费。文件是密文，直接丢进 iCloud / 坚果云 / SeaDrive / Syncthing 同步即安全。

	keystash	pass / gopass	Bitwarden / 1Password	Infisical / Vault
上手成本	`pip install` + 一个主密码	GPG 密钥仪式	注册账号 + 装客户端	自建服务器
存储形态	一个你自己的加密文件	一堆 GPG 文件	厂商云	服务器
离线可用	✅ 始终	✅	部分	❌
Touch ID 解锁	✅ 内置	❌	仅客户端	❌
主动清剿机器上散落的明文密钥	✅ `doctor`	❌	❌	❌
AI 助手零明文调用	✅ `mcp`	❌	❌	企业版
开发工作流（环境变量注入）	✅ 内置	❌	❌	✅（重型）
密钥过期提醒	✅ 内置	❌	❌	企业版

快速上手

bash

# 1. 创建保险库（Fernet：AES-128-CBC + HMAC，PBKDF2-HMAC-SHA256 60 万轮）keystash init
# 2. 存入密钥keystash add openai --secret sk-... --tags llm,prod --expires 2027-01-31 --env-var OPENAI_API_KEY
# 3. 取用keystash get openai              # 面板展示（打码）keystash get openai -c           # 复制到剪贴板，30 秒自动清除keystash get openai -q           # 只输出裸密钥，供脚本使用
# 4. 模糊搜索keystash ls                      # 全部条目，含过期预警（红=已过期，黄=7 天内）keystash ls oprod                # 模糊匹配 openai-prodkeystash ls --tag llm --json
# 5. 把密钥注入任意命令——不落盘、不进 shell 历史keystash run -n openai -n anthropic -- python train.pykeystash run --tag llm -- python train.pyeval "$(keystash env --tag llm)" # 或显式导出
# 6. 从明文 .env 迁移（迁完删掉原文件）keystash import .env

# 1. 创建保险库（Fernet：AES-128-CBC + HMAC，PBKDF2-HMAC-SHA256 60 万轮）keystash init
# 2. 存入密钥keystash add openai --secret sk-... --tags llm,prod --expires 2027-01-31 --env-var OPENAI_API_KEY
# 3. 取用keystash get openai              # 面板展示（打码）keystash get openai -c           # 复制到剪贴板，30 秒自动清除keystash get openai -q           # 只输出裸密钥，供脚本使用
# 4. 模糊搜索keystash ls                      # 全部条目，含过期预警（红=已过期，黄=7 天内）keystash ls oprod                # 模糊匹配 openai-prodkeystash ls --tag llm --json
# 5. 把密钥注入任意命令——不落盘、不进 shell 历史keystash run -n openai -n anthropic -- python train.pykeystash run --tag llm -- python train.pyeval "$(keystash env --tag llm)" # 或显式导出
# 6. 从明文 .env 迁移（迁完删掉原文件）keystash import .env

Touch ID 解锁

每条命令都输一遍主密码，正是把人推回明文备忘录的摩擦来源。解锁一次，之后交给 macOS：

bash

keystash unlock        # 验证一次主密码，存入钥匙串（Touch ID 门控）keystash get openai -c # → 弹指纹 → 已复制keystash lock          # 撤销钥匙串里的存储

keystash unlock        # 验证一次主密码，存入钥匙串（Touch ID 门控）keystash get openai -c # → 弹指纹 → 已复制keystash lock          # 撤销钥匙串里的存储

每次读取都会弹系统认证（Touch ID → Apple Watch → 锁屏密码回退）。 --no-keychain 或 KEYSTASH_PASSWORD 供脚本/CI 绕过。没有生物识别的机器上，钥匙串仍能省掉重复输密码。

keystash doctor —— 主动清剿你已经撒出去的明文

浏览器密码箱只能保护你"记得搬进去"的密钥；doctor 会主动搜捕散落在机器上的：

bash

keystash doctor                    # 扫当前目录 + ~/.zshrc、~/.zsh_history、~/.env …keystash doctor ~/projects         # 扫任意路径keystash doctor --import-all       # 新发现全部入库keystash doctor --import-all --shred --yes   # …并把原文件里的明文原地打码

keystash doctor                    # 扫当前目录 + ~/.zshrc、~/.zsh_history、~/.env …keystash doctor ~/projects         # 扫任意路径keystash doctor --import-all       # 新发现全部入库keystash doctor --import-all --shred --yes   # …并把原文件里的明文原地打码

内置 OpenAI / Anthropic / GitHub / AWS / Google / Slack / Stripe / Hugging Face / SendGrid 令牌格式、PEM 私钥、JWT 的识别规则，外加带熵值校验的 API_KEY=... 通扫。已在库中的密钥会标记为已存储；--shred 把原值替换为 [redacted→keystash:<名字>] 占位符，文件结构和注释原样保留。

AI 助手零明文管理：`keystash mcp`

把 keystash 跑成 MCP 服务器，让 AI 助手（Claude Desktop、ZCode、Cursor 等）编排密钥，但永远看不到密钥的值：

json

{  "mcpServers": {    "keystash": {      "command": "keystash",      "args": ["mcp"],      "env": { "KEYSTASH_VAULT": "/path/to/vault.json" }    }  }}

{  "mcpServers": {    "keystash": {      "command": "keystash",      "args": ["mcp"],      "env": { "KEYSTASH_VAULT": "/path/to/vault.json" }    }  }}

工具	AI 看到什么
`list_entries`、`status`	名称、标签、过期时间、环境变量名——绝无密钥值
`run_command`	命令输出中所有注入的密钥已被脱敏；`printenv`、`env`、`/proc/*/environ` 等倾倒命令直接拒绝
`copy_secret`	只回"已复制到剪贴板"——值进你的剪贴板，不进对话
`generate_and_store`	只回确认；生成的密钥从未在对话中出现过
`add_secret`	⚠️ 唯一例外：用于保存人类已经贴进聊天里的密钥
`update_entry`、`delete_entry`	元数据编辑；删除必须显式 `confirm: true`

先 keystash unlock 一次，服务器会从钥匙串取密码——Touch ID 只在第一次真正用到密钥库的工具调用时弹出（会话启动时绝不弹），每个会话最多弹一次。未解锁时每个工具调用都会返回解锁指引而不是卡死。诚实地说明边界：AI 蓄意写变形编码的代码外传无法拦截 ——但那会完整留痕在它的执行记录里，可审计。本服务器消灭的是意外暴露路径。

命令一览

命令	用途
`init`	创建保险库
`add NAME`	存入密钥（`-s` 值、`-g LEN` 生成、`-t` 标签、`--expires YYYY-MM-DD`、`--env-var`）
`get NAME`	查看（`-r` 明文）、复制（`-c`）、裸输出（`-q`）
`ls [QUERY]`	列表 / 模糊搜索（`--tag`、`--json`）
`edit NAME`	原地修改任意字段
`rm NAME`	删除条目
`gen [LEN]`	生成强随机密钥（`--save NAME` 直接入库）
`env NAME…` / `--tag`	输出 `export` 行供 shell eval
`run -n NAME… -- CMD`	注入环境变量运行命令（`--tag` 按标签选择）
`import FILE`	批量导入 `.env` 或 JSON
`export`	导出元数据（`--with-secrets` 含密钥）为 JSON / dotenv
`unlock` / `lock`	主密码存入 / 移出钥匙串（macOS）
`doctor`	扫描散落明文；`--import-all`、`--shred`
`mcp`	AI 助手 MCP 服务器（零明文工具面）
`status`	保险库健康报告 + 过期预警

多机同步

保险库就是单个加密文件，指到任意同步盘即可：

每次写入都会用全新随机盐重新加密，因此并发写遵循"最后写入者获胜"—— 和所有同步文件一样，同一时刻尽量只让一台机器写。

安全模型

加密：Fernet（AES-128-CBC + HMAC-SHA256，先加密后 MAC），基于 cryptography。
密钥派生：PBKDF2-HMAC-SHA256，60 万轮迭代，每次保存生成 128 位随机盐。
文件权限：0600；任何明文都不会落盘。
剪贴板：复制的密钥 30 秒后自动清除（尽力而为，独立进程）。
无网络、无遥测，CLI 完全离线。
密钥仅在命令执行期间存在于进程内存；Python 无法保证进程退出后的内存清零 ——任何 GC 语言写的 CLI 都一样。

环境变量

参与开发

License

MIT

來源：README.md，提交 316ca0f

工具

工具後設資料尚未被收錄。

版本歷史

v0.3.3最新Oct 7, 2026

变量	用途
`KEYSTASH_VAULT`	保险库文件路径（等价于 `--vault`）
`KEYSTASH_PASSWORD`	主密码（脚本/CI 用；日常建议交互输入）

Keystash

概覽

安裝

在 SourceWeft 中

其他 MCP 客戶端

README

keystash 🔑

English

Why keystash

Quick start

Touch ID unlock

keystash doctor — clean up the mess you already have

AI agents, zero plaintext: keystash mcp

Commands

Multi-machine sync

Security model

Environment variables

Development

中文

为什么是 keystash

快速上手

Touch ID 解锁

keystash doctor —— 主动清剿你已经撒出去的明文

AI 助手零明文管理：keystash mcp

命令一览

多机同步

安全模型

环境变量

参与开发

License

工具

版本歷史

更多類似 Keystash 的服務

gutsy

DepScout

DuDuClaw

AI agents, zero plaintext: `keystash mcp`

AI 助手零明文管理：`keystash mcp`