我做了一个让 Agent 更安全地接收密钥的 Skill

andie:

Agent 有时确实需要 API Token、访问密钥等敏感信息。

但直接粘贴到对话里，明文会进入上下文，甚至触发 Codex 的 Cyber 应激。为了减少这些不必要的暴露，我开发了一个开源 Agent Skill：[Loopmark](https://loopmark.ssoo.fun/)。

它的工作流程是：

1. Agent 根据任务生成一张表单，并把链接发给用户
2. 用户在浏览器中填写普通信息或密钥
3. 普通回答复制回对话；密钥在浏览器中加密，不会出现在复制内容里
4. Agent 将密钥下载并解密到本地临时 `.env` 文件，供后续命令按需使用

整个过程中，云端只保存密文。用于解密密钥的私钥只保存在发起表单的 Agent 本地。

加密实现采用混合方案：问题会话使用由随机 session code 派生的对称密钥加密；密钥字段使用 ECDH 密钥协商与 AES-GCM 加密。Worker 和 R2 对象存储都无法直接读取密钥明文。

默认可以直接使用托管服务；如果有更严格的数据边界要求，也可以将 Worker 和私有 R2 存储桶[部署到自己的 Cloudflare 账号](https://github.com/Andiedie/loopmark#self-hosting-on-cloudflare)。

安装：

```bash
npx skills add andiedie/loopmark
```

项目完全开源，采用 MIT License：

- 产品网站：[loopmark.ssoo.fun](https://loopmark.ssoo.fun/)
- GitHub：[Andiedie/loopmark](https://github.com/Andiedie/loopmark)


---

原文链接：[点击查看](https://www.v2ex.com/t/1233689)