核心功能
Wundervault Vault 是一款面向 AI 代理的零知识加密密钥管理工具，通过 MCP 协议与代理集成。其核心设计目标是让代理能够使用敏感凭证（密码、API 密钥、SSH 密钥等）执行操作，同时确保明文秘密永不进入对话、日志或代理上下文。
秘密以端到端加密形式存储于自托管服务器，仅由本地守护进程在服务器端解密并注入到命令环境变量或配置文件中。代理持有的仅是一个作用域受限的短期令牌，即使令牌泄露也无法直接获取密钥明文。
显著优点
1. 零知识架构：明文秘密永不返回给代理，从架构上杜绝对话泄露风险
2. 命令注入执行：vault_exec 支持将秘密作为环境变量注入任意 shell 命令，且主动过滤危险字符（$()、反引号、eval 等），阻断命令注入攻击
3. 分级访问控制：Tier 1（常规操作）与 Tier 2（部署/基础设施变更）双级机制，高危操作需用户在仪表盘显式授权
4. 多代理隔离：每个代理独立身份令牌，权限完全隔离，审计日志分代理记录，适合团队多代理协作
5. 灵活的密钥使用方式：支持远程 SSH 执行（vault_exec + remote_host）、rsync 部署（vault_rsync）、以及可选的 .env 文件注入（vault_entry_inject_env）
6. 供应链安全：安装脚本强制校验 ed25519 签名，禁止管道执行（curl | bash），提供 SHA-256 校验和公开密钥
潜在局限
- 托管依赖：需要用户自行部署和维护 Wundervault 服务，有一定运维门槛
- 功能锁定：部分功能（如
.env注入）默认关闭，需用户手动在仪表盘启用 - 权限边界：代理写入
.env文件后，文件权限和后续管理由用户负责，工具不自动设置严格权限 - 早期访问阶段：目前需申请 early access，尚未完全开放
适合人群
- 需要将 CI/CD、部署、密钥管理任务委托给 AI 代理的开发团队
- 追求「秘密零暴露」合规要求的企业环境
- 运行多个专用代理（编码、部署、运维）且需严格权限隔离的多代理架构
常规风险
| 风险类型 | 说明 | 缓解措施 |
|---------|------|---------|
| 令牌泄露 | 代理本地令牌被盗可能导致未授权操作 | 令牌作用域受限 + 分级授权 + 审计日志 |
| 恶意文件写入 | `vault_entry_inject_env` 可能被滥用写入非预期路径 | 功能默认关闭 + 用户显式启用 |
| 命令注入 | 秘密注入 shell 命令时的逃逸风险 | 硬阻断危险字符序列（`$()`、`eval` 等） |
| 供应链攻击 | 安装脚本被篡改 | 强制签名验证 + 禁止管道模式 + SHA-256 校验 |
| 持久化泄露 | `.env` 文件写入后成为持久化攻击面 | 文件权限由用户自行管理，建议配合只读挂载 |
综合来看，Wundervault 在 AI 代理密钥管理领域实现了较高的安全水位，其「秘密永不进对话」的设计是对传统 LLM 工具链的重要安全补强。